Ringkiri

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST AS Citadele banka Eesti filiaal Roosikrantsi 2 10119 Tallinn 01.12.2015 nr 2.3-3/15/2026 e-post: [email protected] Ringkiri Seoses kodanike pöördumistega mitmete pankade kliendiandmete uuendamise kohta on Andmekaitse Inspektsioon läbi viinud seire kõigi pankade füüsilisest isikust klientide kliendiandmete uuendamise küsimustike osas. Võttes arvesse, et Pangaliidu poolt edastatud kokkuvõtte kohaselt on paljudel pankadel kliendiandmete uuendamise küsimustikud uuendamisel ning kaebustepõhiselt läbiviidud järelevalvemenetluste tulemusi, edastame inspektsiooni seisukohad. Andmekaitse Inspektsiooni poole pöördunud inimeste peamised küsimused on järgmised: - ebaselged on täiendavate andmete töötlemise eesmärk ja õiguslik alus (enamus pöördujatest oli arusaamisel, et kõigi küsitavate andmete kogumise eesmärgiks on vaid FATCA ja sellest tulenevalt maksualase teabevahetuse seadus, milles sätestatu hõlmab väikese osa küsitavast teabest). - inimesed ei ole saanud aru, et osa andmevälju on vabatahtlikud nt Swedbank ankeedi küsimused hariduse, perekonnaseisu, eluasemetüübi, peretüübi, tööstaaži ja laste kohta või Nordea panga küsimus laste kohta. - segadust tekitavad prognoosivad küsimused sh vastuste mõju kliendi suhtele pangaga nt kuidas mõjutab kliendisuhet see, kui isik on prognoosinud oma sularahaväljamakseteks 200 eurot ja ühel kuul on see ootamatult 250 eurot. - inimeste jaoks ei ole arusaadavad rahapesu ja terrorismi tõkestamise seaduse spetsiifilised mõisted nt riikliku taustaga isik, tegelik kasusaaja. Õiguslik taust. Tulenevalt rahapesu ja terrorismi rahastamise direktiivist 2015/849 peetakse võitlust rahapesu ja terrorismi rahastamisega oluliseks avalikuks huviks. Samas ei ole rahapesu ja terrorismi rahastamise risk kõikidel juhtudel sama. Riskipõhine lähenemisviis ei ole liikmesriikide ja kohustatud isikute jaoks põhjendamatult kõikelubav valikuvõimalus. Muuhulgas on direktiivi preambulas märgitud, et isikuandmete töötlemisele kohaldatakse direktiivi 95/46 vastavalt sellele, nagu see on riigi õigusesse üle võetud. Eestis on siseriiklikult direktiivi 95/46 nõuded üle võetud isikuandmete kaitse seadusega. Täiendavaks siseriiklikuks regulatsiooniks, mis sätestab andmetöötluseks õiguslikud alused ning koosseisu on rahapesu ja terrorismi rahastamise tõkestamise seadus ja maksualase teabevahetuse seadus (millega on siseriiklikult sisustatud FATCA). Samas võib tekkida olukordi, kus pangad peavad lisaks lähtuma rahvusvahelistest õigusaktidest ning korrespondentpankade nõudmistest. Vastavalt isikuandmete kaitse seaduse (IKS) § 14 lg 1 p 1 võib isikuandmeid töödelda juhul, kui selleks on seaduses sätestatud alus ning § 14 lg 1 p 4 juhul, kui see on vajalik lepingu täitmise tagamiseks. Andmete töötlemisel tuleb täita ka IKS § 6 p 2 ja 3 sätestatud eesmärgikohasuse (andmeid kogutakse õiguspärastel eesmärkidel) ja minimaalsuse (andmeid ei koguta suuremas mahus, kui eesmärkide saavutamiseks vajalik) põhimõtteid. Samuti on asjakohane IKS § 6 p 5, mille kohaselt andmed peavad olema ajakohased, täielikud ja vajalikud andmetöötluseesmärgi saavutamiseks. Väike-Ameerika 19 / 10129 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Antud juhul on kliendiandmete uuendamine RTRTS § 13 lg 1 p 5 sätestatud hoolsuskohustus, mida pank peab täitma kliendiandmeid regulaarselt uuendades. Andmekaitse Inspektsiooni seisukoht. Andmekaitse Inspektsioon on analüüsinud kliendiandmete uuendamise vastavust isikuandmete kaitse seaduses sätestatule. Soovitame pankadel kliendiandmete uuendamisel pöörata tähelepanu järgnevale: 1. Mõistame, et erinevused pankade andmekoosseisudes on tingitud muuhulgas erinevatest infotehnoloogilisest lahendusest, mida kliendiandmebaaside haldamiseks kasutatakse. IKS § 6 p 3 sätestatuga on kooskõlas lahendus, mille puhul isikuandmete töötlemine on minimaalne st selleks, et küsimustikke koostada, ei analüüsita täiendavalt klientide kontoandmeid. Mis puudutab prognoosivaid küsimusi, siis soovitame lähtuda järgmisest: - sõnastatakse küsimusena „kas te prognoosite muutusi oma maksekäitumises“, kui vastus jah, siis sisestada number; - summad näidatakse vahemikena; - panga poolt eeltäidetud andmeväli, mida saab parandada. Peab märkima, et klientide jaoks on märkimisväärselt mugavam, kui kliendiandmete uuendamise puhul on küsimustikud pangal olemasolevate andmete osas eeltäidetud. 2. Suurimaks puudujäägiks, mis kliendiandmete küsimustikega seoses ilmnes, on nõue, et andmetöötlus peab kliendi jaoks olema läbipaistev: - inimeste jaoks peab olema selge, miks nad peavad enda kohta täiendavaid andmeid esitama. See on oluline eelkõige sellepärast, et andmete koosseis võrreldes varasemate kliendiandmete uuendamistega on märkimisväärselt muutunud ning võttes arvesse, et selgitus/teavitus on paljudel pankadel olnud puudulik, tekib inimestel täiesti põhjendatud kahtlus selles osas, kas andmete küsimine on ikkagi vajalik ja põhjendatud. - inimesel peab olema võimalik eristada, milliseid andmeid kogutakse seaduse alusel (rahapesu ja terrorismi rahastamise tõkestamise seadus, maksualase teabevahetuse seadus jt ) sh lepingu täitmiseks ( nt kontaktandmete uuendamine) ja andmeid, mille esitamine on vabatahtlik nt mõeldud otseturunduslikke pakkumiste tegemiseks. Praegu kasutusel olev kohustuslike väljade märgistamine tärniga peaks keskmise mõistusega inimese jaoks olema piisavalt arusaadav. Kohustuslike andmeväljade puhul peab olema selge: - töötlemise eesmärk; - töötlemise alus (kuidas täpselt see tehniliselt on teostatud on iga panga otsustada, nt viide panga isikuandmete töötlemise eeskirjadele; ei pea olema välja toodud konkreetset §-i, piisab selgitusest koos viitega, kust isik saab täpsemat teavet; mitme aluse korral piisab peamise (eelistatavalt siseriikliku) aluse väljatoomisest); - Samuti peavad olema lahti seletatud mõisteid nt riikliku taustaga isik, tegelik kasusaaja jm. Kui need tavainimese jaoks täiesti võõrad mõisted on lahti seletemata, tekitab see ühelt poolt segadust ja põhjendamatut usaldamatust panga suhtes ning teiselt poolt mõjutab andmete kvaliteeti, sest ka isikud, kes mingil moel ei kvalifitseeru nt riikliku taustaga isikuks, märgivad, et nad seda siiski on. Andmekaitse Inspektsioonile edastatud küsimustikest on riikliku taustaga isiku mõiste kõige selgemalt lahti kirjutatud SEB panga küsitluses. - täiendavalt võiks analüüsida andmekoosseisude juures seda, kas kõik küsitavad andmed on vältimatult vajalikud nt kontaktandmete puhul võiks lähtuda kliendi eelistusest, millist kontakti ta pangaga suheldes soovib kasutada nt Swedbank küsitluses saav isik oma e-posti aadressi sisestada vaid juhul, kui soovib seda pangaga suheldes kasutada. Väike-Ameerika 19 / 10129 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST 3. Andmekaitse Inspektsioonile laekunud kõnede/kaebuste/selgitustaotluste ja märgukirjade sisu andis alust arvata, et inimesed ei ole saanud oma küsimustele, millega panga poole pöörduti adekvaatseid vastuseid. Seega juhime tähelepanu vastutava töötleja kohustusele täita IKS § 26 lg 3 tulenevat kohustust töötajaid koolitada. Koolitus peab muuhulgas tagama võimekuse selgitada andmete töötlemise õiguslikke aluseid ja eesmärke ning IKS § 19 sätestatut. Lugupidamisega /allkirjastatud digitaalselt/ Merit Valgjärv juhtivinspektor peadirektori volitusel Väike-Ameerika 19 / 10129 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235