ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Sandra Paulus Teie 18.06.2025 nr
SA Kodanikuühiskonna
Sihtkapital Meie 04.07.2025 nr 2.2-9/25/1979-2
[email protected]
e
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) on saanud Teie pöördumise, milles soovite nõu hankega seotud
küsimuses. Soovite veenduda, et sotsiaalsete kriteeriumite rakendamine ei läheks vastuollu
andmekaitsega või kui on vastuolu, siis soovite võimalusel ettepankuid, mida oleks vaja muuta.
Nimelt soovite rakendada hankes eritingimust lisapunktide saamiseks, mis siis eeldaks
isikuandmete töötlemist (sh nimi, staatust kinnitavad tõendid jne). Selle kriteeriumiga antakse
teatud eelis hankes osalejale, kellel on kaasatud teatud kriteeriumit täitev inimene.
Siinkohal pean märkima, et ma ei saa anda õiguslikku hinnangut konkreetse tingimuse
õiguspärasusele selgitustaotluse raames. Õiguslikke seisukohti kujundab AKI eelkõige
järelevalvemenetluse raames, hinnates kõiki asjas tähtsust omavaid asjaolusid. Olukorras, kus mul
puudub informatsioon, milline hange ja millistel alustel läbi viiakse, sh millisel alusel toimub
isikuandmete töötlemine, siis saan jagada vaid üldiseid selgitusi lähtudes muuhulgas isikuandmete
kaitse üldmäärusest (edaspidi IKÜM), mida tuleb arvestada isikuandmete töötlemisel.
Selgitan, et riigihangete korraldamisel on hankijal võimalik sätestada tingimusi, mis aitavad kaasa
sotsiaalse võrdsuse suurendamisele (nn sotsiaalsed kriteeriumid). Hankija saab kehtestada, et
riigihankes osalev ettevõtja peab täitma mingeid sotsiaalse iseloomuga tingimusi, või anda
ettevõtjale selliste tingimuste täitmisel eelise (nt võimaluse saada pakkumuste võrdlemisel rohkem
hindepunkte). Sotsiaalsete kriteeriumitena võimaldab riigihangete direktiiv muuhulgas arvestada
ebasoodsas olukorras olevate isikute või haavatavate rühmade liikmete sotsiaalset integreerimist
lepingut täitma määratud töötajate hulka.1
Riigihangete puhul tuleb muuhulgas jälgida reegleid korrektseks isikuandmete töötlemiseks.
IKÜM2 sätestab, et isikuandmete töötlemine peab olema seaduslik ja andmesubjektile läbipaistev;
samuti tohib isikuandmeid koguda üksnes kindlaksmääratud õiguspärastel eesmärkidel3 ning
koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid4. Seda, millisel õiguslikul alusel ja
eesmärgil andmetöötlust läbi viiakse, peab IKÜM5 kohaselt selgitama ja tõendama
andmetöötleja. Isikuandmete töötlemise õiguslike aluste ammendav loetelu on välja toodud
IKÜM artiklis 66.
1
2014/24/EL preambul p 93 (https://eur-lex.europa.eu/legal-
content/ET/TXT/HTML/?uri=CELEX:32014L0024&qid=1690175760866)
2
IKÜM art 5 lg 1 p a
3
IKÜM art 5 lg 1 p b
4
IKÜM art 5 lg 1 p c
5
IKÜM art 5 lg 2
6
Loe ka isikuandmete töötleja üldjuhend lk 7: Isikuandmete töötleja üldjuhend.pdf.
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Kui õiguslik alus isikuandmete töötlemiseks puudub, siis isikuandmeid töödelda (sh koguda,
edastada, salvestada, säilitada vms) ei tohi. Niisama igaks juhuks andmeid töödelda ei ole samuti
lubatud. Andmetöötlus peab olema eesmärgipärane ja tagama selle, et töödeldakse üksnes ja ainult
neid andmeid, mis on eesmärgi täitmiseks vajalik.
Olete viidanud oma kirjas ka nõusolekule kui õiguslikule alusele isikuandmete töötlemiseks. Mis
puudutab nõusolekut õigusliku alusena, siis märgin, et avaliku sektori asutus üldjuhul ei töötle
isikute andmeid nõuoleku alusel. IKÜM7 põhjenduspunktid 42 ja 43 selgitavad, et nõusolekut ei
tohiks lugeda vabatahtlikult antuks, kui inimene ja tema isikuandmete vastutav töötleja on selgelt
ebavõrdses olukorras, eriti juhul, kui vastutav töötleja on avaliku sektori asutus. Seega, kui
tegemist ei ole vabatahtlikult antud nõusolekuga oma isikuandmete töötlemiseks, peab
andmetöötlus tuginema üksnes selgele õiguslikule alusele, mis tuleneb kohasest õigusaktist.
Rõhutan, et kui isikuandmete töötlemise alus (kohustus) tuleneb õigusaktist, siis ei ole asjakohane
andmete töötlemisel tugineda nõusolekule, kuna see on eksitav, sest inimene tegelikult oma
andmete töötlemise üle otsustada ei saa. Euroopa Andmekaitsenõukogu on 04.05.2020 antud
suuniste8 punktis 3 märkinud, et üldiselt saab nõusolek olla asjakohane õiguslik alus vaid juhul,
kui andmesubjektile antakse kontroll ning tõeline võimalus valida pakutavate tingimustega
nõustumise ja nende tagasilükkamise vahel, ilma et sellega kaasneks kahjulikke tagajärgi.
Nõusoleku küsimisel on vastutava töötleja ülesanne hinnata, kas see vastab kõigile kehtiva
nõusoleku hankimise nõuetele. Kui nõusolek on saadud täielikult kooskõlas isikuandmete kaitse
üldmäärusega, on see vahend, mis annab andmesubjektile kontrolli selle üle, kas tema
isikuandmeid töödeldakse või mitte. Kui nõusoleku hankimisel ei ole isikuandmete kaitse
üldmäärust täielikult järgitud, on andmesubjekti kontroll vaid näilik ja nõusolek ei ole töötlemiseks
kehtiv alus, mistõttu töötlemine on ebaseaduslik.
Pöördumisest nähtub, et konkurentsieelist soovitakse anda asutustele, kelle hulgas on teatud
staatusega inimesi. See aga eeldabki hanketingimustele vastavuse tõendamiseks isikuandmete
töötlemist. Euroopa Andmekaitsenõukogu on 04.05.2020 antud suuniste9 punktis 13 on märgitud,
et üldjuhul on isikuandmete kaitse üldmäärusega ette nähtud, et kui andmesubjektil ei ole tõelist
valikuvõimalust, kui ta tunneb sundi nõustuda või kui tal tuleb nõusoleku andmata jätmise korral
taluda negatiivseid tagajärgi, on nõusolek kehtetu. Kui nõusolek on osa mitteläbiräägitavatest
tingimustest, ei peeta seda vabatahtlikult antuks.
Seega ei saa rääkida vabatahtlikult antud nõusolekust, kui inimene tunneb sundi nõustuda
(sealjuures võib sunniks olla mistahes viisil toimuv igasugune survestamine või mõjutamine) või
kui mittenõustumisel tuleb taluda negatiivseid tagajärgi või kui inimesel puudub võimalus
tingimuste osas kaasa rääkida. Järelikult on ka küsitav, kuivõrd on töötajal hankemenetluses oma
isikuandmete töötlemiseks nõusolekut andes valikuvõimalust. Eriti kui huvitatud pooleks on
eelduslikult pigem tööandja, kes soovib näiteks läbi täiendavate väärtuspunktide saada
konkurentsieelist.
Niisiis, olukorras, kus isikuandmete töötlemise õiguslikuks aluseks ei saa olla nõusolek, peab
andmetöötlus tuginema üksnes õigusaktist tulenevale selgele alusele. Sellisel juhul saab
isikuandmete töötlemine toimuda IKÜM artikkel 6 lõike 1 punktide c (juriidilise kohustuse
täitmine) või e (avaliku ülesande täitmine) alusel10.
7
EL isikuandmete kaitse üldmäärus (https://eur-lex.europa.eu/legal-
content/ET/TXT/HTML/?uri=CELEX:32016R0679&qid=1654594451057&from=ET)
8
Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta
(https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_et.pdf)
9
Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta
(https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_et.pdf)
10
IKÜM artikkel 6 lõike 3 punkti b järgi tuleb artikkel 6 lõike 1 punktides c ja e osutatud isikuandmete töötlemise
alus kehtestada vastutava töötleja suhtes kohaldatava liikmesriigi õigusega.
2 (3)
Riigihanke korraldamise reeglid ning riigihankega seotud isikute õigused ja kohustused on
sätestatud riigihangete seaduses (RHS)11. Seega, kui seadus sätestab hankija õiguse kehtestada
riigihankes osalevale ettevõtjale sotsiaalse iseloomuga tingimusi, siis peab seaduses olema selgelt
sätestatud ka see, millised on hankija õigused hankemenetluses ehk kes ja milliseid isikuandmeid
on hankijale kohustatud esitama ning millisel viisil ja ulatuses on hankijal õigus sotsiaalsetele
tingimustele vastavuse kontrollimiseks neid isikuandmeid töödelda. Nõue, et isikuandmete
töötlemine on ette nähtud seaduse tasemel, tuleb Eesti Vabariigi põhiseaduse §-st 26.
Kokkuvõtvalt saangi selgitada, et seda, millisel õiguslikul alusel isikuandmeid töödeldakse (sh
erinevates hangetes jne), peab teadma iga andmetöötleja ise enne isikuandmete töötlemist. Kui
õiguslik alus puudub, siis isikuandmeid töödelda ei tohi. Käesoleval juhul, kui seadus sätestab
hankija õiguse kehtestada riigihankes osalevale ettevõtjale sotsiaalse iseloomuga tingimusi, siis
peab seaduses olema selgelt sätestatud ka see, millised on hankija õigused hankemenetluses
isikuandmeid töödelda.
Ühtlasi märgin, et kui riigihangete seaduses puudub säte, mis võimaldaks hankijal nõuda talle
nõuetele vastavuse hindamiseks vajalike dokumentide esitamist või teha vajalike isikuandmete
saamiseks päringuid andmekogudesse, siis on alati võimalik teha valdkonda juhtivale
ministeeriumile ettepanek seaduse täiendamiseks vastavate sätetega.
Loodan, et minu selgitustest on abi.
Lugupidamisega
Liina Kroonberg
jurist
peadirektori volitusel
11
Riigihangete seadus (Riigihangete seadus–Riigi Teataja).
3 (3)