ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Tiia Ots Teie 22.05.2025
[email protected]
Meie 30.06.2025 nr 2.2-9/25/1644-3
Vastus selgitustaotlusele
Esitasite Andmekaitse Inspektsioonile selgitustaotluse, milles soovite täpsustada nõusoleku
tagasivõtmise õiguse ulatust töötaja poolt. Soovite teada, kas töötajal on õigus keelduda enda CV
avaldamisest hankijale või konkreetsele hankijale või seda piiranguid CV-s olevate andmete
esitamisele (nt lubada ainult osaliselt oma töökogemuse infot avaldada), mis võib viia selleni, et
töötajaga ei saa töösuhet jätkata, sest tema välistamine teenuse osutamise protsessist konkreetse
kliendi jaoks ei ole võimalik.
Oma pöördumises selgitate, et töötajaid on informeeritud, et nende CV-d võidakse ettevõtte poolt
kasutada hangetes, kui hankija küsib teenust osutavate töötlejate CV-sid nende pädevuses
veendumiseks või teha taustauuringut, mis on Teie ettevõtte tegutsemisvaldkonnas täiesti
tavapärane. Alusena on viidatud isikuandmete kaitse üldmääruse (IKÜM) artikkel 6 lõike 1
punktile b.
Esmalt märgime, et inspektsioonile ei ole teada juhtumiga seotud täpsed asjaolud ja samuti ei anna
me õiguslikke hinnanguid väljaspool menetlust, mistõttu saame vaid üldiselt selgitada
isikuandmete töötlemist puudutavat.
IKÜM-st tulenevalt tuleb isikuandmete töötlemisel alati järgida IKÜM artiklis 5 loetletud
isikuandmete töötlemise põhimõtteid, milleks muu hulgas on seaduslikkuse, õigluse ja
läbipaistvuse põhimõte, eesmärgipärasuse põhimõte ja minimaalsuse põhimõte. Nende kolme
põhimõtte järgi peab isikuandmete töötlemiseks olema alati seaduslik alus, isikuandmeid tohib
töödelda üksnes selgelt määratletud eesmärgil ning ulatuses, mis on selle konkreetse eesmärgi
täitmiseks vajalik. Lisaks peab töötlemine olema inimese jaoks selge ja arusaadav ehk läbipaistev.
Isikuandmete töötlemise seaduslikud alused on loetletud IKÜM artikkel 6 lõikes 1. IKÜM
põhjenduspunktis 40 on selgitatud, et töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid
töödelda asjaomase andmesubjekti nõusolekul või muul õiguslikul alusel, mis on sätestatud
õigusaktis, kas käesolevas määruses või käesolevas määruses osutatud muus liidu või liikmesriigi
õigusaktis, sealhulgas siis, kui vastutav töötleja peab täitma talle kehtivaid juriidilisi kohustusi või
kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel
enne lepingu sõlmimist meetmeid.
Riigihangete korraldamise reeglid ning riigihankega seotud isikute õigused ja kohustused on
sätestatud riigihangete seaduses (RHS), mida on kohustatud järgima avaliku sektori hankija1 ja
võrgustikusektori hankija2.
1
RHS § 5 lõige 2
2
RHS § 5 lõige 3
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
RHS-st tulenevalt sätestab hankija riigihanke alusdokumentides majanduslikult soodsaima
pakkumuse väljaselgitamiseks hankelepingu esemega seotud ja reaalset konkurentsi tagavad
pakkumuste hindamise kriteeriumid. Majanduslikult soodsaima pakkumuse väljaselgitamisel
võtab hankija arvesse eelkõige parimat hinna ja kvaliteedi suhet, mis hõlmab kvalitatiivseid,
keskkonnahoidlikkuse või sotsiaalseid kriteeriume, milleks muu hulgas võivad olla hankelepingu
täitmises vahetult osalevate isikute spetsiifiline tõendatud töökorraldus, kvalifikatsioon või
kogemus, millest otseselt sõltub hankelepingu täitmise kvaliteet.3
Kutsealase pädevuse kontrollimiseks on hankijal õigus muu hulgas nõuda andmete või
dokumentide esitamist pakkuja või taotleja, tema juhtide või teenuste osutamise või ehitustööde
juhtimise eest vastutavate isikute hariduse ja kutsekvalifikatsiooni kohta, kui need on vastavate
teenuste osutamiseks või ehitustööde juhtimiseks vajalikud.4
Seega annab RHS kontrollimiseks ja soodsaima pakkumuse väljaselgitamiseks avaliku sektori või
võrgustikusektori hankijale õiguse nõuda hankelepingu täitmises vahetult osalevate isikute
kvalifikatsiooni puudutavaid andmeid, kuid eesmärgipärasuse ja minimaalsuse põhimõtetest
lähtuvalt tohib seda teha ulatuses, mis on teenuste osutamiseks vajalik. Siinjuures on tähtis silmas
pidada seda, et avaliku sektori asutused üldjuhul ei töötle isikute andmeid nõusoleku alusel.
IKÜM artikkel 4 punkti 11 järgi on nõusolek vabatahtlik, konkreetne, teadlik ja ühemõtteline
tahteavaldus, millega isik kas avalduse vormis või selge nõusolekut väljendava tegevusega
nõustub tema kohta käivate isikuandmete töötlemisega. IKÜM põhjenduspunktis 42 on muu
hulgas selgitatud, et nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole
tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest
keelduda või seda tagasi võtta. Seda täiendab veel põhjenduspunkt 43, milles märgitakse järgmist:
selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete
töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on
selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus, ning seega
on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult.
Euroopa Andmekaitsenõukogu (EAKN) on 04.05.2020 antud suuniste5 (edaspidi 04.05.2020
suunised) punktis 3 märkinud, et üldiselt saab nõusolek olla asjakohane õiguslik alus vaid juhul,
kui andmesubjektile antakse kontroll ning tõeline võimalus valida pakutavate tingimustega
nõustumise ja nende tagasilükkamise vahel, ilma et sellega kaasneks kahjulikke tagajärgi.
Nõusoleku küsimisel on vastutava töötleja ülesanne hinnata, kas see vastab kõigile kehtiva
nõusoleku hankimise nõuetele. Kui nõusolek on saadud täielikult kooskõlas isikuandmete kaitse
üldmäärusega, on see vahend, mis annab andmesubjektile kontrolli selle üle, kas tema
isikuandmeid töödeldakse või mitte. Kui nõusoleku hankimisel ei ole isikuandmete kaitse
üldmäärust täielikult järgitud, on andmesubjekti kontroll vaid näilik ja nõusolek ei ole töötlemiseks
kehtiv alus, mistõttu töötlemine on ebaseaduslik.
Lisaks on 04.05.2020 suuniste punktis 13 märgitud, et üldjuhul on isikuandmete kaitse
üldmäärusega ette nähtud, et kui andmesubjektil ei ole tõelist valikuvõimalust, kui ta tunneb sundi
nõustuda või kui tal tuleb nõusoleku andmata jätmise korral taluda negatiivseid tagajärgi, on
nõusolek kehtetu. Kui nõusolek on osa mitteläbiräägitavatest tingimustest, ei peeta seda
vabatahtlikult antuks.
Samuti ei tohi nõusoleku puhul jätta arvestamata ebavõrdset jõuvahekorda, mis ilmneb ka töösuhte
kontekstis. 04.05.2020 suuniste punktis 21 leitakse, et tööandja ja töövõtja vahelist sõltuvussuhet
arvesse võttes on ebatõenäoline, et andmesubjekt saab keelduda oma tööandjale andmete
töötlemiseks loa andmisest, tundmata hirmu või tajumata tõelist ohtu, et keeldumisega kaasnevad
kahjulikud tagajärjed.
3
RHS § 85
4
RHS § 101
5
Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta
2 (3)
Niisiis ei saa rääkida vabatahtlikult antud nõusolekust, kui inimene tunneb sundi nõustuda
(sealjuures võib sunniks olla mistahes viisil toimuv igasugune survestamine või mõjutamine) või
kui mittenõustumisel tuleb taluda negatiivseid tagajärgi (töötajaga ei saa töösuhet jätkata) või kui
inimesel puudub võimalus tingimuste osas kaasa rääkida.
Seega, kui hankijatele CV-de avaldamisel tuginetakse nõusolekule, kuid töötajal puudub samas
võimalus ise otsustada, millises ulatuses ta nõustub oma andmeid hankijale avaldama ning
nõusoleku andmisest keeldumise tulemuseks on töösuhte lõppemine, siis ei saa ilmselgelt tegemist
olla vabatahtlikult antud nõusolekuga. Nõusolek aga, mis ei vasta IKÜM tingimustele, on kehtetu.
Teie pöördumises toodud õiguslik alus viitab sellele, nagu oleks CV-de edastamine vajalik töötaja
osalusel sõlmitud lepingu täitmiseks. Samas jääb selgusetuks, mil määral on CV-de edastamine
hankijale töötajate pädevuse hindamiseks või taustauuringu tegemiseks vajalik just töötajaga
sõlmitud lepingu täitmiseks. Kui teenusleping sõlmitakse hankija ja tööandja vahel, siis kuivõrd
on sellisel juhul üldse võimalik töötaja isikuandmete töötlemisel tugineda IKÜM artikkel 6 lõike
1 punktile b. Samas, nagu eespool selgitatud, siis ei ole inspektsioonile teada täpsemad asjaolud.
EAKN on 08.10.2019 antud suuniste6 punktis 19 märkinud, et kui vastutav töötleja soovib
töödelda lepingu täitmiseks vajalikke isikuandmeid, ei ole nõusolek asjakohane õiguslik alus.
Samas leiab andmekaitsenõukogu, et kui töötlemistoiming ei ole lepingu täitmiseks vajalik, võib
töötlemine toimuda üksnes siis, kui sellel on mõni muu asjakohane õiguslik alus.
Punktis 26 on lisaks selgitatud, et vastutav töötleja saab isikuandmete töötlemisel tugineda artikli
6 lõike 1 punkti b esimesele osale, kui tal on võimalik kooskõlas artikli 5 lõikega 2 kehtestatud
vastutuse kohustusega tõestada nii seda, et töötlemine toimub seoses andmesubjekti osalusel
sõlmitud kehtiva lepinguga, kui ka seda, et töötlemine on vajalik selle andmesubjektiga sõlmitud
konkreetse lepingu täitmiseks. Kui vastutaval töötlejal pole võimalik tõestada, et a) leping on
olemas, b) leping on kohaldatava riikliku lepinguõiguse alusel kehtiv ning c) töötlemine on lepingu
täitmiseks objektiivselt vajalik, peaks vastutav töötleja kaaluma töötlemistoimingule muud
õiguslikku alust.
Kokkuvõtvalt vastuseks Teie pöördumisele märgime, et kui isikuandmete töötlemine toimub
nõusoleku alusel, siis on andmesubjektil õigus otsustada, kellele ja millises ulatuses ta lubab oma
isikuandmeid edastada, sealjuures on isikul õigus oma nõusolek igal ajal tagasi võtta. Siinjuures
peame vajalikuks selgitada, et tööandja vastutava töötlejana peab läbipaistvuse tagamiseks
veenduma, et töötajatel ei tekiks segadust kohaldatava õigusliku aluse osas. Töötajatel ei tohi
ekslikult jääda muljet, et tööandjaga lepingut sõlmides annavad nad IKÜM artikli 6 lõike 1 punkti
a kohase nõusoleku. Samuti ei tohi tööandja eeldada, et lepingu sõlmimine töötajaga tähendab ka
nõusolekut IKÜM artikli 6 lõike 1 punkti a tähenduses. Tegemist on täiesti erinevate mõistetega
ja nendel kontseptsioonidel on erinevad nõuded ja õiguslikud tagajärjed.
Loodetavasti saime selgitustega abiks olla.
Lugupidamisega
Terje Enula
jurist
peadirektori volitusel
6
Suunised 2/2019 isikuandmete töötlemise kohta IKÜM artikli 6 lõike 1 punkti b alusel seoses andmesubjektidele
internetipõhiste teenuste osutamisega
3 (3)