Vastus pöördumisele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Lembit Elmik Teie 10.07.2025 [email protected] Meie 25.07.2025 nr 2.2-9/25/2224-2 Vastus pöördumisele Andmekaitse Inspektsioon sai Teie pöördumise seoses plaanitava lahendusega laoruumide rentnikele. Selgitate, et soovite luua laoruumide rentnikele võimalust saada ruumidele ligipääsu läbi nutitelefoni rakenduse. Sama rakenduse abil soovite anda rentnikele võimaluse näha kaamerapilti nende laoruumi ukseesisest, näiteks selleks et kontrollida kulleri kohalolu olukorras, kus rentnik ise ei viibi laoruumis. Soovite teada, mida peaksite tegema, et taoline lahendus vastaks isikuandmete kaitse üldmäärusele. Selgitan esmalt, et inspektsioon järelevalveasutusena ei saa osutada õigusabi. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang. Siiski saame anda inspektsiooni pädevuse piires õigusalaseid selgitusi. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Kui Teil on vaja õigusnõu ja/või seisukohta lähtuvalt konkreetsetest asjaoludest, siis soovitame pöörduda õigusnõustajate (advokaadid, juristid) poole. Järgnevalt selgitan üldiseid põhimõtteid, mis tulenevad isikuandmete kaitse üldmäärusest ja millega peab iga andmetöötleja arvestama. Esmalt peab taolises olukorras eristama, millised on rentnike ja rendileandja suhted andmetöötluse vaatest. Etteruttavalt mainin, et andmetöötlejate rollide määramine on isikuandmete kaitse üldmääruse (IKÜM) kohaselt üks olulisemaid eeltingimusi õiguspäraseks andmetöötluseks. See aitab vältida juriidilisi vaidlusi ja lisaks suurendab andmetöötluse läbipaistvust ning inimeste, ehk andmesubjektide, õiguste tagamist. IKÜM eristab vastutavat, volitatud ja kaasvastutavaid andmetöötlejaid. Vastutava, kaasvastutava ja volitatud andmetöötleja eristamisel on oluline teha kindlaks, kes määrab töötlemise eesmärgid ja vahendid. Vastutavaks andmetöötlejaks on isik, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid, st töötlemise põhjuse ja viisi. Volitatud töötleja töötleb isikuandmeid aga vastutava töötleja nimel ning eesmärkidel ja vastutava töötleja juhiste kohaselt. Kaasvastutus tekib hoopiski siis kui kaks andmetöötlejat ühiselt määravad kindlaks andmetöötluse eesmärgid ning vahendid. Lisaks tasub meeles pidada, et andmetöötlejaks saab olla ka füüsiline isik.1 Seega, peaksite läbi analüüsima millises rollis andmetöötlejana olete teie rendileandjana ning millises rollis on rentnik. Kui teie eesmärgiks on tagada territooriumi üldist turvalisust ning seejuures pakkuda rentnikele mugavusteenust, siis on tegemist ilmselt vastandlike eesmärkidega ning rääkida ei vastutava-volitatud andmetöötlejate suhtest. Lisaks on taolises olukorras vastutava töötleja kohustus tagada ja kontrollida, et kaamerapilti näevad ainult selleks õigustatud isikud ning et andmeid töödeldakse minimaalselt ja eesmärgipäraselt. See eeldab mh ka kõikide vaatamiste logimist. Kaasvastutuse puhul peaks nii rendileandja kui ka rentnik eesmärkide ja vahendite osas tegema otsuseid ühiselt. Oluline kriteerium on see, et töötlemine ei oleks võimalik ilma mõlema 1 Soovitan lugeda veel vastutava ja volitatud töötleja ning kaasvastutuse kohta siit: Vastutav ja volitatud töötleja | Andmekaitse Inspektsioon Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 poole osaluseta, ehk kummagi osapoole poolne töötlemine on lahutamatult seotud. Praegusel juhul plaanite te paigaldada valvekaameraid niikuinii. Olukorras, kus rendileandja ja rentnik on eraldiseisvad vastutavad andmetöötlejad, ei saa üks vastutav andmetöötleja lubada teisel vastutaval andmetöötlejal ilma õigusliku aluseta kaamera salvestistele ligipääsu. Nt õigusrikkumiste korral politseile edastamise õigus tuleneb seadusest. Ilmselgelt jäävad kaamera vaatevälja territooriumil viibivad inimesed (nt teiste laoruumide rentnikud) ehk toimub isikuandmete töötlemine. Isikuandmete töötlemisel tuleb järgida määruses sätestatud põhimõtteid.2 Üheks põhimõtteks on ka seaduslikkuse põhimõte, mille kohaselt peab isikuandmete töötlemiseks (sh edastamiseks) olema ka õiguslik alus3. Järgida tuleb ka teisi isikuandmete töötlemise põhimõtteid, sh eesmärgipärasuse, õigsuse ja konfidentsiaalsuse põhimõtet. Kõige sagedamini kasutatakse kaameraid isikute ja vara kaitseks (nn turvakaamerad) õigustatud huvi alusel. Seega enne, kui kaameraid kasutama asuda, peab vastutav andmetöötleja analüüsima, kas tema huvid kaaluvad üles vaatevälja jäävate isikute huvid või on eesmärki võimalik saavutada kaameraid paigaldamata, inimesi vähem riivavamaid mooduseid kasutades.4 Lisaks peab kaameraid kasutama valivalt ning eesmärgipäraselt. See tähendab, et kaamera on suunatud kas konkreetsele turvariskile või teie toodud näite puhul – konkreetsele laoruumi uksele. Kui siiski hindamise tulemusel selgub kaamerate kasutamise hädavajadus, peab kaamerate omanik tagama inimeste teavitamise nende jälgimisest, andmete turvalise töötlemise, panema paika salvestiste säilitamise aja ja määrama, kes neile juurdepääsu saab. Samuti peab valmis olema selleks, et inimene tahab teda kujutavate salvestistega tutvuda. Isikuandmete töötlemisega seonduv teave peaks inimesele olema kättesaadav ettevõtja kodulehelt andmekaitsetingimustest. Videovalve puhul tuleb kõige olulisem teave (töötlemise eesmärk, õiguslik alus, vastutava töötleja nimi ja kontaktandmed ning info, kus saab tutvuda andmekaitsetingimustega) esitada ka teavitussildil. Videovalvest saate lähemalt lugeda ning leiate vajadusel abi teavitussildi genereerimisel meie kodulehelt: Videovalve korraldajale | Andmekaitse Inspektsioon. Toote ka ise enda pöördumises välja, et rentnikud näeksid ka läheduses olevaid uksi ja nende ees liikuvaid autosid ning inimesi. Praegusel juhul tekib aga mitmeid küsimusi. Esiteks, nagu eelnevalt mainitud, siis peab andmete edastamiseks olema alati mõni õiguslik alus. Vastutav andmetöötleja ei tohi valimatult ja õigusliku aluseta jagada kaamerapilti/salvestist kolmandatele isikutele. Teiseks peab vastutav andmetöötleja tagama ka andmete konfidentsiaalsust ning tal peab olema ülevaade, kes andmetele ligi pääseb. Andmete töötlemine (sh edastamine ja ligipääsu võimaldamine) peab olema minimaalne ja eesmärgipärane. See tähendab mh et tuleb hoolikalt valida, mis on vajalik ala, mis kaamera vaatevälja jääb. Viimaks on väga tähtis ka see, kuidas inimesed saavad teostada enda õiguseid. Kui vastutavaid andmetöötlejaid on mitu, siis peab inimene aru saama kelle poole saab ta pöörduda, kui soovitakse tutvuda iseenda andmetega või küsida näiteks isikuandmete töötlemise asjaolude kohta. Kuigi inspektsioon ei saa anda õigusabi, siis loodan et selgitustest on abi. Lugupidamisega Geili Keppi jurist peadirektori volitusel 2 IKÜM artikkel 5 toodud põhimõtted: Andmetöötluse põhimõtted | Andmekaitse Inspektsioon 3 Töötlemise õiguslikud alused | Andmekaitse Inspektsioon 4 Mis on õigustatud huvi analüüs ja kuidas seda läbi viia: Õigustatud huvi | Andmekaitse Inspektsioon 2 (2)