Otsus isikuandmete töötlemiseks teadusuuringus

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST OTSUS isikuandmete töötlemiseks teadusuuringus nr 2.2.-1/25/50-2 Otsuse tegija Andmekaitse Inspektsiooni jurist Anu Suviste Otsuse tegemise aeg ja koht 18.12.2025 Tallinnas Kärt Nemvalts Taotluse esitaja Justiits- ja Digiministeerium [email protected] RESOLUTSIOON: Isikuandmete kaitse seaduse (IKS) § 6 lg 5 alusel Andmekaitse Inspektsioon otsustab kooskõlastada andmesubjektide nõusolekuta isikuandmete töötlemine Justiits- ja Digiministeeriumi poliitika kujundamise eesmärgil tehtavas teadusuuringus "Euroopa Liidu äriregistrites avalikustatavate isikuandmete andmekoosseisude võrdlus" (edaspidi uuring) 10.12.2025 taotluses esitatud ja menetluses käigus täpsustatud tingimustel ja mahus. VAIDLUSTAMISVIIDE: Otsuse peale on võimalik esitada 30 päeva jooksul vaie haldusmenetluse seaduse § 71 lõikes 1 sätestatud korras või esitada kaebus halduskohtule halduskohtumenetluse seadustiku § 7 lõikes 1 sätestatud korras. TAOTLUSE ESITAJA SELETUS JA KINNITUSED: Uuringu isikuandmete vastutav töötleja: Justiits- ja Digiministeerium, registrikood 70000898) aadress Suur-Ameerika tn 1, 10122 Tallinn, kontakt [email protected], +372 6208 100, [email protected]. Uuringu isikuandmete volitatud töötleja: Jaana Sahk-Labi Uuringu eesmärk: Justiits- ja Digiministeerium on tellinud volitatud töötlejalt äriregistriga seotud andmekaitsealaste küsimuste analüüsi. Selleks, et saada paremat arusaama, milliseid lähenemisi äriregistrites äriühingutega seotud isikute isikuandmete avalikustamise vaatest (arvestades, et andmetöötlus toimub samas Euroopa Liidu ühisturu kontekstis, paljuski Euroopa Liidu õiguse alusel ja laiemal siseturu majanduskeskkonna usaldusväärsuse eesmärgil) on leidnud teised liikmesriigid ja analüüsida võimalikke poliitikakujundamise valikuid, tuleks muu hulgas võrrelda Eesti äriregistri lähenemist teiste Euroopa Liidu äriregistrite omaga. Uuringu eesmärgiks on kaardistada ja võrrelda, milliseid isikuandmeid avalikustatakse äriühinguga seotud füüsiliste isikute kohta ilma mingite piiranguteta Euroopa Liidu liikmesriikide poolt äriregistrites veebiliidese kaudu. Isikuandmete töötlemine uuringus vastavalt IKS § 6 lõikes 3 sätestatud tingimustele: Äriregistrite puhul on oluline leida tasakaal erinevate oluliste huvide vahel nagu majanduskeskkonna läbipaistvus ja isikuandmete kaitse. Selleks, et teha informeeritud poliitikakujundamise otsuseid, on vaja informatsiooni selle kohta, millised on teiste riikide parimad praktikad. Selleks, et võrrelda, millised isikuandmed äriühinguga seotud isikute kohta on Euroopa Liidu liikmesriikide äriregistrite kaudu veebis vabalt kättesaadavad, tuleb erinevaid andmekoosseise vaadelda ning paratamatult tähendab see äriregistris otsitavate ettevõtetega seotud isikute avalike isikuandmete töötlemist – teisiti ei ole võimalik võrrelda, milliseid andmekoosseise äriühinguga seoses teiste riikide äriregistrites reaalsuses täna avalikustatakse. Päring tehakse reaalajas Euroopa Liidu liikmesriikide äriregistrite avalikes veebiportaalides. Vaadatakse ainult neid andmeid, mis on vaatamise hetkel kõnealuses äriregistris avalikult igaühele kättesaadavad, sh on välja jäetud olukorrad, kus andmed on küll igaühele kättesaadavad, aga andmetele juurdepääsu saamiseks tuleb teha konto kõnealuse äriregistri portaali. Andmeid ainult vaadatakse reaalajas avaliku otsingu kaudu ning pannakse kirja, milliseid andmeid konkreetse riigi äriregister avalikult näitab – nt riik x, avalikult kättesaadav juhatuse liikme nimi, sünniaeg, isikukood ja elukoha aadress. Lisaks vaadatakse, kas kättesaadavad on ka ajaloolised andmed äriühinguga seotud isikute kohta (st nt nende isikute isikuandmeid, kes vaatamise ajahetkel ei ole enam äriühinguga seotud, nt juhatuse liikmed) ning kas äriühinguga seotud isiku nime järgi veebiotsinguga otsides tuleb viide äriregistrile kui andmeallikale ja veebiotsingus avalikustatakse muid äriregistri olevaid andmeid äriühinguga seotud füüsilise isiku kohta (st kui kerge on leida isiku nime järgi äriregistrist veebiotsinguga tema sünniaega, kui nii nimi kui ka sünniaeg on äriregistris endas avalikult kättesaadavad kõigile). Koondfaili lisatakse viited veebilehekülgedele, kust andmeid vaadati, aga ei viidata mh sellele, millise ettevõtte kohta andmeid otsiti, et konkreetseid andmesubjekte ei oleks võimalik ka kaudselt tuvastada. Andmeid ei salvestata ega talletata ühtegi andmestikku füüsilise ega temaga seotud juriidilise isiku kohta mitte ühelegi andmekandjale. Vastutavale töötlejale andmeid ei edastata, koostatakse vaid koondvaade, milliste riikide registrites milliseid isikuandmete kategooriaid avalikustatakse (valim: nimi, sugu, sünniaeg, isikukood, kodune aadress). Nende füüsiliste isikute hulka, kelle andmeid vaadatakse, ei ole võimalik adekvaatselt ette hinnata. Arvestada tuleb, et eesmärk on katta kõik Euroopa Liidu 27 liikmeriiki, et saada täielik võrdlus. Iga liikmesriigi kohta (eeldusel, et äriregistrile on võimalik ilma nt sisse logimata vm täiendavaid toiminguid tegemata juurde pääseda) otsitakse 2-3 äriühingu andmeid ning töödeldakse nendega seotud isikute avalikult kättesaadavaid andmeid, sh kui on kättesaadavad, siis ajaloolisi andmeid. Isikute ja andmete hulk võib varieeruda sõltuvalt ettevõttest. Eelduslikult töödeldakse äriühinguga seotud füüsilise isiku nime, sugu, sünniaega, isikukoodi, elukoha aadressi, kui need on konkreetses äriregistris avalikult kättesaadavad. Andmekoosseis peegeldab täna Eesti äriregistris avalikult leiduvaid andmeid äriühinguga seotud isikute kohta, et oleks võimalik lähenemisi võrrelda. Ei saa välistada, kuigi see on ebatõenäoline, et mõne Euroopa Liidu liikmesriigi äriregistris on avalikustatud veel mingi tunnus konkreetse füüsilise isiku kohta, mida loetelus ei ole. Siis paratamatult vaadatakse ka seda andmestikku. Kuna avalikke andmeid ainult vaadatakse ning kuskile ei talletata, siis ei vaja andmed ei pseudonümiseerimist ega anonümiseerimist. Info ja tingimused analüüsi läbiviimise kohta avalikustatakse Justiits- ja Digiministeeriumi veebilehel peale Andmekaitse Inspektsiooni loa saamist. ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED JA SELGITUSED: IKS § 6 lõike 5 kohaselt loetakse teadusuuringuks ka täidesaatva riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise eesmärgil. Nende koostamiseks on täidesaatval riigivõimul 2 (3) õigus teha päringuid teise vastutava või volitatud töötleja andmekogusse ning töödelda saadud isikuandmeid. Andmekaitse Inspektsioon kontrollib enne nimetatud isikuandmete töötlemise algust selles paragrahvis sätestatud tingimuste täitmist, välja arvatud juhul, kui poliitika kujundamiseks tehtava uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenevad õigusaktist. IKS § 6 lg-s 3 on nimetatud tingimused, mida tuleb hinnata enne, kui hakatakse uuringus andmesubjekti nõusolekuta tema isikuandmeid tuvastamist võimaldaval kujul töötlema. Üheks tingimuseks on, et andmetöötluse eesmärgid ei ole saavutatavad peale tuvastamist võimaldavate andmete eemaldamist. Inspektsioon nõustub, et pärast isikute tuvastamist võimaldatavate andmete eemaldamist oleks andmetöötluse eesmärkide saavutamine ebamõistlikult raske. Lisaks on taotluse esitaja hinnanud ja välja toonud ülekaaluka avaliku huvi ning kinnitanud, et töödeldavate isikuandmete põhjal ei muudeta isikute kohustuste mahtu ega kahjustata muul viisil ülemääraselt andmesubjektide õigusi. Andmekaitse Inspektsiooni kooskõlastus isikuandmete töötlemiseks poliitika kujundamise uuringus kehtib inspektsioonile 10.12.2025 taotluses esitatud ja menetluses käigus täpsustatud tingimustel ja mahus. Kui eeltoodud uuringu tingimused muutuvad, tuleb sellest inspektsiooni teavitada. Lugupidamisega (allkirjastatud digitaalselt) Anu Suviste jurist peadirektori volitusel 3 (3)