Küsimustik Andmete kustutamise õiguse (“õigus olla unustatud”) rakendamine vastutavate töötlejate poolt Isikuandmete kaitse määruse (EL) 2016/ 679 artikkel 17 1. Teave vastutava töötleja kohta 1.1 nimi: aadress: kontaktandmed: 1. 2 Millisesse kategooriasse T eie organisatsioon kuulub? ( palun valige ainult üks ): ☐ mikroettevõtja (< 10 töötajat ja käive ≤ 2 miljonit eurot või bilansimaht ≤ 2 miljonit eurot) ☐ väikeettevõtja (< 50 töötajat ja käive ≤ 10 miljonit eurot või bilansimaht ≤ 10 miljonit eurot) ☐ keskmise suurusega ettevõtja (< 250 töötajat ja käi ve ≤ 50 miljonit eurot või bilansimah t ≤ 43 miljonit eurot ) ☐ suurettevõtja (üle 250 töötaja) 1. 3 Kas Teie klientide hulgas, on ka andmesubjek te, kes on (valige üks või mitu sobivat vastust ): ☐ lapsed ☐ haavatavad isikud (nt eakad, varjupaigataotlejad, etnilised vähemused, puuetega inimesed) ☐ me ei töötle laste ega haavatavate isikute andmeid oma kliendi programmi raames 1. 4 Palun esitage ligikaudne andmesubjekt ide arv , keda T eie isikuandmete töötlemistoimingud puudutavad: ☐ < 100 ☐ 101 – 1000 ☐ 1 001 – 10 000 ☐ 10 001 – 100 000 ☐ 100 001 – 500 000 ☐ 500 001 – 1 000 000 ☐ > 1 000 000 1. 5 Milliseid isikuandmete liike T eie isikuandmete töötlemistoimingud peamiselt puudutavad? ( valige kõik sobivad ) ☐ kontaktandmed ☐ makseandmed ☐ identifitseerimisandmed ☐ turundusandmed ☐ eriliigilised andmed isikuandmete kaitse üldmääruse artikli 9 tähenduses palun täpsustage, milliseid all loetletud eriliigilisi andmeid töötlete: nt terviseandmed; seksuaalelu või seksuaalne sättumus ; rassiline või etniline päritolu; poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine ; biomeetrilised ja geneetilised andmed ☐ andmed süüdimõistvate kohtuotsuste ja süütegude kohta isikuandmete kaitse üldmääruse artikli 10 tähenduses ☐ muu, palun täpsustage: 1. 6 Mitu isikuandmete kaitse üldmääruse artikli 17 kohast andmete kustutamis e taotlust Te saite allpool t oodud aastate lõikes ? 2 022 2023 202 4 0 ☐ ☐ ☐ 1–10 ☐ ☐ ☐ 11–50 ☐ ☐ ☐ 51–100 ☐ ☐ ☐ 101–500 ☐ ☐ ☐ üle 500 ☐ ☐ ☐ 1. 7 Kui suure protsendi taotlustest Te tagasi lükkasite? 202 2 2023 202 4 0% ☐ ☐ ☐ 10% ☐ ☐ ☐ 20% ☐ ☐ ☐ 30% ☐ ☐ ☐ 40% ☐ ☐ ☐ üle 50% ☐ ☐ ☐ 1. 8 Kui suur osa T ei le esitatud andmete kustutamis e taotlustest oli seotud isikuandmete kaitse üldmääruse artikli 21 kohas t e vastuväidete esitamise õiguse kasutamisega sama andmesubjekti poolt (sealhulgas vastuväited turu nd amisele )? 202 2 2023 202 4 0% ☐ ☐ ☐ 10% ☐ ☐ ☐ 20% ☐ ☐ ☐ 30% ☐ ☐ ☐ 40% ☐ ☐ ☐ üle 50% ☐ ☐ ☐ 1. 9 Kas nende klientide hulgas , kes on esitanud taotluse andmete kustutamiseks on ka: ☐ vanemad või eestkostjad , kes on esitanud taotluse oma lapse (laste) nimel kui jah, siis palun märkige protsent saadud taotlustest: ☐ haavatavad isikud (nt eakad, varjupaigataotlejad, etnilised vähemused, puuetega inimesed) või haavatava isiku eestkostjad kui jah, siis palun märkige protsent saadud taotluste st : 2. Töövoog 2.1 Kas T eie organisatsioon on välja töötanud konkreetsed organisatsiooni sisesed juhised/suunised/soovitused või sarnased dokumendid, mis käsitlevad õigust isiku andmete kustutamisele? Kas teie organisatsioon järgib isikuandmete kaitse üldmääruse artikli 17 kohaste taotluste käsitlemisel sisemiselt kindlaksmääratud protsessi? ☐ jah kui ja h , siis palun kirjeldage lühidalt protsessi : ☐ ei kui ei, siis palun selgitage, miks: 2.2 Millisel organisatsiooni üksusel on juhtiv roll isikuandmete kustutamise taotluste menetlemisel T eie organisatsioonis? ( palun valige ainult üks ) ☐ a ndmekaitseametnik ☐ õ igus-/vastavusosakond ☐ k ommunikatsiooniüksus ☐ a ndmekaitsekoordinaator ☐ k lienditeenindus ☐ m uu Kui muu, siis palun täpsustage: 2.3 Kas T eie organisatsioon koolitab oma töötajaid seoses isikuandmete kustutamise taotlustega? ☐ jah ☐ ei 2.3.1 Kui jah, siis täpsustage kui sageli ( mitu korda aastas) koolitusi korraldatakse : 2.3.2. Kui jah, siis kirjeldage, ku idas te oma töötajaid koolitate : 2.4 Kirjeldage, k uidas te ete kindlaks isiku andmed , mi da isikuandmete kustutamis e taotlus hõlmab ? 2.5 Kirjeldage, k uidas menetlete isikuandmete kustutamis e taotlust, mis on seotud isikuandmetega , mida töödeldakse a) ühiselt koos kaasvastutavate töötlejatega : b) teie volitatud töötleja poolt : 2.6 Kas jälgite või kontrollite regulaar selt , et Teie organisatsioon menetleks isiku andmete kustutamise taotlus i korrakohas elt ? ☐ jah kui jah, siis palun kirjeldage seda regulaarset kontrolliprotsessi : ☐ ei k ui ei, siis palun selgitage, miks: 2.7 Milline on keskmine aeg (nädalates), mis Tei e organisatsioonil kulub isikuandmete kustutamise taotluste men e tle miseks (alates kustutamis e taotluse saamisest kuni andmesubjektile antava lõpliku vastuseni)? 2.8 Kui sageli on T eie organisatsioon isiku andmete kustutamise taotluste puhul pikendanud isikuandmete kaitse üldmääruse artikli 12 lõike 3 teises lauses sätestatud ühekuulist tähtaega? ☐ alati ( 1 00% saadud taotlustest) ☐ väga sageli (umbes 75% saadud taotlustest ) ☐ sageli ( umbes 50% saadud taotlustest ) ☐ harva ( umbes 15% saadud taotlustest ) ☐ mitte kunagi (0% saadud taotlustest ) 2.8.1 . Kui pikendate tähtaega , siis kirjeldage, mis on peamis ed põhjus ed, miks Te seda teete: 2.9 Kas isikuandmete kaitse üldmääruse artikli 17 rakendamise korda vaadatakse korrapäraselt läbi ja vajadusel kohandatakse? ☐ jah Kui jah, siis kui sageli seda ajakohastatakse (aastas) : ☐ ei 3. Juhtumi stsenaariumid 3.1 Kuidas hindab T eie organisatsioon, et isikuandmed (mille kohta on esitatud kustutamis e taotlus) ei ole enam vajalikud eesmärkidel, milleks neid koguti või muul viisil töödeldi vastavalt isikuandmete kaitse üldmääruse artikli 17 lõike 1 punktile a? 3.2 Kuidas T eie organisatsioon toimib, kui andmesubjekt võtab nõusoleku tagasi vastavalt isikuandmete kaitse üldmääruse artikli 17 lõike 1 punktile b? 3.3 Kuidas T eie organisatsioon toimib, kui andmesubjekt esitab isikuandmete kaitse üldmääruse artikli 21 lõike 1 või 2 alusel töötlemise suhtes vastuväite? (vt ka artikkel 17 lõige 1 punkt c) 3.4 Kas T eie organisatsioon on isikuandmete kaitse üldmääruse artikli 17 lõike 1 punktil c põhineva kustutamistaotluse korral kunagi keeldunud andmete kustutamisest, tuginedes oma „töötlemise ülekaaluka te le õiguspäras t ele põhjustele “? Kuidas mõistate mõistet „ülekaalukad õiguspärased põhjused“ ja kuidas see on tasakaalus andmesubjektide huvide, õiguste ja vabadustega? Kirjeldage üksikasjalikult esinenud juhtum eid ja esitage sel ajal tehtud analüüs. 3.5 Kuidas tagab T eie organisatsioon isikuandmete kaitse üldmääruse artikli 17 lõike 2 rakendamise, kui isikuandmed avalikustatakse (st tehakse kõigile kättesaadavaks veebilehel, sotsiaalmeedias vms kanalis) ? Milliseid meetmeid võetakse, et tagada õigus olla unustatud? 3.6 Milliseid erandeid isikuandmete kaitse üldmääruse artikli 17 lõikest 3 või muudest isikuandmete kaitse üldmääruse artikli 23 lõikel 1 põhinevatest sise riiklikest eranditest kohaldab teie organisatsioon kõige sagedamini ( v alige kõik sobivad )? ☐ sõna- ja teabevabaduse õiguse kasutamine ☐ vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud töötlemist nõudva juriidilise kohustuse täitmine Kui seda alust kasutate , siis märkige palun kõige sagedamini kohaldatavad õiguslikud alused: ☐ avalikes huvides oleva ülesande täitmi ne või vastutava töötleja avaliku võimu teostami ne Kui seda alust kasutate, siis märkige palun kõige sagedamini kohaldatavad õiguslikud alused: ☐ rahvatervise valdkonna avaliku huviga seotud põhjustel ☐ avalikes huvides toimuv arhiveerimi ne , teadus- või ajaloouuringu või statisti ne eesmär k niivõrd, kuivõrd õigus andmete kustutamisele tõenäoliselt muudab sellise töötlemise eesmärgi saavutamise võimatuks või häirib seda suurel määral ☐ õigusnõuete koostami ne , esitami ne või kaitsmi ne ☐ muu Kui muu, siis palun täpsustage: 3.7 Kuidas T eie organisatsioon kontrollib, et artikli 17 lõikes 3 sätestatud erandite le tugine mise tingimused on täidetud? 3.8 K ui Teie organisatsioon on kunagi keeldunud andmete kustutamisest sõna- ja teabevabaduse õiguse alusel (isikuandmete kaitse üldmääruse artikli 17 lõike 3 punkt a) , siis k irjeldage palun üksikasjalikult neid juhtumeid ja esitage sel ajal tehtud keeldumise aluseks olnud analüüs. 3.9 Kui õigust andmete kustutamisele ei saa tagada taoltuse esitamise ajal, näiteks esinevad õiguslikud või lepingulised kohustused andmete säilitamise ks , siis milliseid muid meetmeid te andmesubjektide õiguste kaitseks võtate (nt isikuandmete kaitse üldmääruse artikli 18 kohane õigus isikuandmete töötlemise piiramisele)? 3.10 Kuidas täidab T eie organisatsioon oma kohustust teavitada andme te vastuvõtjaid õigusest andmete kustutamise l e (isikuandmete kaitse üldmääruse artikli 19 esimene ja teine lause)? 3.11 Kuidas T eie organisatsioon toimib, kui andmesubjekt esitab taotluse, mis sisaldab nii taotlust juurdepääsuks oma isikuandmetele (isikuandmete kaitse üldmäärus artikkel 15) kui ka isikuandmete kustutamis e taotlust? 4. Andmesubjektidega suhtlemine 4.1 Kas annate andmesubjektile juhiseid või kirjeldate isiku andmete kustutamis e taotluse esitamise protsessi? Kui jah, siis palun märkige, kust on võimalik leida andmete kustutamis e taotluse esitamise juhised või menetlus protsessi kirjeldus t . 4.2 Kas teie organisatsiooni andmekaitsetingimustes on kirjas ( valige üks või mitu sobivat vastust ): ☐ andmete konkreetne säilitamisperioo d (aastates) ☐ kõnealuse perioodi kindlaksmääramiseks kasutatud kriteeriumid ☐ mitte kumb ki eespool nimetatutest Kui mitte kumbki, siis palun täpsustage: 4.3 Milliste sidekanalite kaudu saate andmesubjektidelt isikuandmete kustutamise taotlusi ( valige kõik sobivad )? ☐ e-posti aadress ☐ üldine veebivorm ☐ veebipõhine erivorm, mis on mõeldud andmete kustutamise taotluse esitamiseks ☐ p ostiaadress (paberkandjal taotluse esitami ne ) ☐ muu Kui muu, siis palun täpsustage: 4.4 Kuidas vastab teie organisatsioon isikuandmete kustutamise taotlustele ( valige kõik sobivad )? ☐ e-posti aadress ☐ veebipõhine kasutajakonto ☐ postiaadress (vastuse saatmine paberkandjal) ☐ muu Kui muu, siis palun täpsustage: 4.5. Kas andmesubjektile saadetakse kinnitus isiku andmete kustutamis e taotlus e kättesaamise kohta? ☐ jah ☐ ei 4.5.1 . Kui jah, siis kas kinnituses on kirjas teave menetlemise aja / eeldatava menetlemise aja kohta? ☐ jah ☐ ei 5. Tehnilised aspektid 5.1. Kas järgite isikuandmete kustutamisel tehnilisi standardeid (nt ISO/IEC)? ☐ jah Kui jah, siis palun täpsustage: ☐ ei 5.2 Kirjeldage, k uidas kustutab Teie organisatsioon isikuandmeid tehniliselt sellisel viisil, et neid ei ole hiljem võimalik enam taastada? 5.3 Kas teie organisatsioon kasutab tehnilisi vahendeid (nt tarkvara) isikuandmete kustutamise taotluste menetlemiseks ? ☐ jah Kui jah, siis palun täpsustage: ☐ ei 5.4 Kas olete kaasanud isikuandmete kustutamiseks teenusepakkuja? ☐ jah Kui jah, siis palun täpsustage: ☐ ei 5.5 Kas T eie asutus kustutab andmed nende anonüümseks muutmise teel (kustutades igasuguse teabe tuvastatud või tuvastatava füüsilise isiku kohta)? ☐ jah Kui jah, siis palun selgitage, miks kasutatakse kustutamise asemel anonüümimist ja kuidas seda tehniliselt te ostatakse: ☐ ei 5.6. Kas isikuandmed kustutatakse ka varukoopiatest ja erinevatest andmebaasidest? ☐ jah ☐ ei 5.6.1. Kui jah ning kustutate nii andmebaasidest kui ka varukoopiatest , siis kas rakendate varukoopiatele samu kustutamis e protsesse? ☐ jah ☐ ei Kui ei, siis palun selgitage protsesside erinevusi: 6. Teie kogemused 6.1 Milliste õiguslike, tehniliste ja/või organisatsiooniliste probleemidega puutute kokku, kui rakendate isikuandmete kaitse üldmääruse artiklis 17 sätestatud õigust andmete kustutamisele / õigust olla unustatud? 6.2 Mis võiks T eid aidata isikuandmete k ustutamise taotluste mene tlemisel (näidised, tööriistad, midagi muud)? 6.3 Kas T eil on märkusi või lisateavet seoses isiku andmete kustutamise taotlustega, mida sooviksite esitada ja mi s ei ole vastustega eelneva te le küsimustiku küsimus te le ka etud ?
ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lugupeetud seires osalejad Meie 02.06.2025 nr 2.1.-4/25/818-1777-1
Andmete kustutamise võimaldamise seire
Euroopa Andmekaitsenõukogu on algatanud liikmesriikides ühistegevuse, et saada ülevaade,
kuidas on tagatud andmesubjektide õigus olla unustatud. Ühistegevuse raames tegeleb enamik
Euroopa Andmekaitsenõukogu liikmetest terve aasta kestel ühe kooskõlastatud teemaga. 2025. a
on fookuses andmesubjektide õigus andmete kustutamisele ja selle rakendamine. Ühistegevuses
osaleb seire vormis ka Eesti Andmekaitse Inspektsioon.
Ühistegevuse eesmärgiks on saada põhjalikum ülevaade sellest, kuidas on tagatud
andmesubjektide õigus olla unustatud, sest tegemist on isikuandmete kaitse üldmääruse ühe keskse
õigusega, mis võimaldab andmesubjektidel teostada kontrolli nende isikuandmete töötlemise üle.
Lisaks on tegemist õigusega, mida andmesubjektid kasutavad andmetega tutvumise õiguse kõrval
kõige sagedamini ja mille rakendamise kohta andmetöötlejate poolt saavad järelevalveasutused
üle Euroopa andmesubjektidelt palju kaebusi.
Andmekaitse Inspektsiooni seire keskendub 2025. a füüsiliste isikute õigusele olla unustatud
seonduvalt kliendiprogrammides osalemisega, et mõista, kuidas on erinevaid kliendiprogramme
kasutavad ettevõtted taganud, et andmete kustutamise taotluse saamisel järgitakse isikuandmete
kaitse üldmääruse nõudeid. Seiresse on kaasatud suuremad jae- ja tanklaketid, kes oma tegevuse
raames kliendiprogramme kasutavad. Viidatud ülevaate saamiseks on käesolevale kirjale lisatud
küsimustik, mille palume Teil ära täita ja oma vastused Andmekaitse Inspektsioonile saata.
Küsimustiku täitmisel palume keskenduda andmetöötlusele asjakohase kliendiprogrammi
raames.
Palun edastage vastused Andmekaitse Inspektsioonile hiljemalt 28.07.2025. Seire küsimused on
liikmeriikide üleselt ühiselt koostatud ning nende tulemused on üldistatud kujul sisendiks
andmekaitsenõukogu ühisaruandele, mis valmib eeldatavalt 2025. aasta lõpuks. Seire viime läbi
tulenevalt isikuandmete kaitse üldmääruse artiklist 58 ning isikuandmete kaitse seaduse
paragrahvist 56. Seetõttu on vastuse esitamine meile kohustuslik.
Tekkivate küsimuste või probleemide korral on Teil võimalik pöörduda Andmekaitse
Inspektsiooni rahvusvahelise õiguse juristi Andra Kase poole, kirjutades aadressile
[email protected].
Lugupidamisega
(allkirjastatud digitaalselt)
Pille Lehis
peadirektor
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235