Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Kalev Pikaru Teie 03.10.2025 P.P. Ehitusjärelevalve OÜ [email protected] Meie 20.10.2025 nr 2.2-9/25/3200-2 Vastus selgitustaotlusele Andmekaitse Inspektsioon (AKI) sai Teie pöördumise. Küsite, kas lepingus tellija poolt esitatud nõue, et teenuse osutamisega seotud objektil viibimine peab olema isikute kaupa reaalajas GPS- positsioneeritav ja tellija poolt jälgitav, on õiguspärane. Olete esitanud AKI-le lepingupunkti, mille osas soovite õiguslikku hinnangut ning vajate selget juhist, kuidas edasi toimida. Esmalt selgitame, et AKI ei saa selgitustaotlusele vastates anda konkreetsele juhtumile siduvat õiguslikku hinnangut, see on võimalik ainult järelevalvemenetluses. AKI kohustus on märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse §-st 3 tulenevalt anda õigusalaseid selgitusi asutuse tegevuse aluseks olevate õigusaktide ning asutuse pädevuse ja õigusloome tegevuse kohta. Seega ei saa me anda õigusnõu ega sekkuda lepinguõiguslikesse vaidlustesse ning olete toiminud õigesti pöördudes selles osas õigusnõustaja poole. Küll aga saame anda selgitusi isikuandmete töötlemise nõuete kohta, juhul kui otsustate töötajate positsioneerimist kasutada ning selgitame veelkord isikuandmete töötlemise nõudeid lähtuvalt Teie kirjeldatud olukorrast. Antud juhul on oluline välja selgitada, milline on ettevõtete roll isikuandmete töötlemisel. Isikuandmete kaitse üldmääruse (IKÜM) kohaselt1 on mõistetel „vastutav töötleja“, „kaasvastutav töötleja“ ja „volitatud töötleja“ keskne tähendus, kuna nende kaudu määratakse kindlaks, kes vastutab andmekaitsenõuete täitmise eest ning millised on töötaja praktilised võimalused oma õigusi kasutada. Vastutav töötleja on kohustatud rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete töötlemise vastavus IKÜM-le ning suuta seda vajadusel tõendada2. Kui andmeid töödeldakse osapoolte koostöös, tuleb kaasvastutavate töötlejate puhul selgelt kokku leppida, kes mille eest vastutab ja kuidas täidetakse IKÜM-st tulenevaid kohustusi.3 Vastutav töötleja peab sõlmima volitatud töötlejaga siduva lepingu, mis määratleb täpselt, milliseid nõudeid volitatud töötleja peab täitma.4 Andmetöötlusleping peab olema põhjalik, vastama artikli 28 nõuetele ning selgelt määratlema poolte rollid ja vastutuse isikuandmete töötlemisel. Ebapiisavad või ebatäpsed lepingud võivad jätta olulised küsimused vastuseta ning põhjustada raskusi andmekaitsenõuete täitmisel. Seetõttu on oluline tagada, et kõik andmete töötlemisega seotud üksikasjad oleksid lepingus õigesti määratletud, volitatud töötleja järgiks vastutava töötleja antud juhiseid isikute õiguste kaitse ja andmete turvalisuse tagamiseks. 1 Vt Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikkel 4 p-d 7-8. 2 IKÜM art 24; 3 IKÜM art 26; 4 IKÜM art 28. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Tööandja vastutava andmetöötlejana saab GPS-seadmetega töötajate andmete töötlemisel tugineda õigustatud huvi õiguslikule alusele, nii nagu eelnevas selgitustaotluse vastuses juba ka selgitatud. Tulenevalt IKÜM artikli 6 lg 1 punktist f tulenevalt on isikuandmete töötlemine seaduslik juhul kui see on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral. Seega saab olla õigustatud huvi ka kolmandal isikul (nt antud juhul tellijal). Seda õiguslikku alust saab kasutada aga üksnes siis, kui vastutav andmetöötleja on teostanud andmetöötleja ja töötajate vastandlike huvide kaalumise ning jõudnud järelduseni, et seadme kasutamine ei riiva ülemääraselt töötajate huvisid. Olukorras, kus andmetöötluseks konkreetne õiguslik alus puudub, ei tohi ka andmeid sellisel viisil töödelda. Sõltumata õiguslikust alusest, on andmetöötlejal kohustus järgida muuhulgas ka järgnevaid põhimõtteid5: - töötlemine on seaduslik, õiglane ja isikule läbipaistev; - eesmärgi piirang – isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel; - võimalikult väheste andmete kogumine – isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt. Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks. Isikuandmete töötleja peab andmete töötlemisel alati eelnevalt ka hindama, kas andmetöötlus on ikka tõesti eesmärgi täitmiseks vajalik ning kas just sellises ulatuses. Igasuguse andmetöötluse puhul peab tagama isikuandmete turvalisuse, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid6. Isikuandmeid tohib infosüsteemides kasutada ainult selleks otstarbeks, milleks need on kogutud, ning neile ei tohi ligi pääseda omakasu, pahatahtlikkuse või uudishimu ajel. Väärkasutuse vältimiseks tuleb elektroonilise andmetöötluse puhul pidada logikirjeid, mis võimaldavad hiljem tuvastada, kes, millal ja miks andmeid kasutas. Tuleks eelistada süsteeme, mis koguvad vaid eesmärgipäraseid andmeid ning ei võimalda reaalajas jälgimist. Lisaks eeldab läbipaistvuse põhimõte, et kogu isikuandmete töötlemisega (sh GPS-seadmete kasutamisega) seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt sõnastatud.7 On äärmiselt oluline, et GPS-seadmete kasutamise kord on asutuse juhendites/kordades reguleeritud ning töötajad on sellega kurssi viidud. Seega kokkuvõttes, kui otsustate GPS-seadmetega isikuandmeid töödelda, tuleb pooltel selgeks teha, millises rollis isikuandmete töötlemisel ollakse ning isikuandmete vastutaval töötlejal tagada isikuandmete töötlemise nõuetele vastavus juhindudes IKÜM-ist. Lisaks soovitame tutvuda ka AKI kodulehelt leitavate materjalidega8. Loodame, et vastusest on abi. Lugupidamisega Mari-Liis Uprus jurist peadirektori volitusel 5 IKÜM artiklis 5 sätestatud põhimõtteid, sh lg 1 punktis a, b ja c sätestatut; 6 IKÜM art 5 lg 1 punkt f; 7 Andmekaitsetingimusi reguleerivad täpsemalt IKÜM artiklid 12–13. Andmekaitsetingimuste koostamisest saab lugeda AKI kodulehelt Andmekaitsetingimuste koostamine | Andmekaitse Inspektsioon; 8 Isikuandmete töötleja üldjuhend võtab kokku kõige olulisema, mida isikuandmete töötleja peab teadma, vastutava ja volitatud töötleja kohta saab täpsemalt lugeda siit, õigustatud huvi hindamise kohta saab täpsemat infot õigustatud huvi juhendist. 2 (2)