ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Margret Siilbaum Teie 27.01.2025
Astro Baltics
[email protected] Meie 06.02.2025 nr 2.2-9/25/300-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles soovite üldiseid selgitusi
isikuandmete kaitse üldmääruse (IKÜM) ja andmekaitse kohta ettevõtluses. Nimelt küsite:
Millised järgnevatest andmetest, mida kogume füüsilistest isikutest klientidelt, kuuluvad GDPR
mõistes isikuandmete alla ja peame kustutama/muutma mitteidentifitseeritavaks juhul, kui meilt
seda palutakse? a. Nimi, b. Isikukood, c. Telefoninumber, d. E-posti aadress, e. Aadress, f.
Ettevõtte nimi ja ametikoht, g. Arveldusarve andmed, h. Päringute tekstid. Millised
andmekaitsemäärused kohalduvad juriidilistele isikutele? Milline peaks olema säilitustähtaeg
andmetele, mis ei ole seotud raamatupidamisseadusest tulenevate piirangutega?
Selgitan vastuseks Teie esimesele küsimusele, et isikuandmed on kõik andmed üksikuna või
kogumis, mille kaudu inimene on otseselt või kaudselt äratuntav, näiteks nimi, isikukood,
asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud,
kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende
kombinatsioonid1. Ehk siis kui inimene on tuvastatav läbi mingite parameetrite, siis saab neid
andmeid lugeda isikuandmeteks.
Isikuandmete kaitse reeglid ei kehti kui teave ei võimalda isikut mõistlike pingutustega
tuvastada2. Tuleb arvestada, et isikuandmed on ainult füüsilisel isikul – juriidilisel isikul puudub
eraelu ning seega ka isikuandmed, seetõttu ei kohaldu ka andmekaitsereeglid.
Vastuseks Teie teisele küsimusele selgitan, et isikuandmete kaitse nõuded Eestis on sätestatud
peamiselt Isikuandmete kaitse üldmääruses (IKÜM või inglise keeles ka GDPR) ning
isikuandmete kaitse seaduses aga kohustusi võib ka muudest seadustest tulla. See olenebki juba
sellest, millega ettevõte tegeleb ning milliseid andmeid kogub.
IKÜM3 sätestab, et isikuandmete töötlemine peab olema seaduslik ja andmesubjektile
läbipaistev; samuti tohib isikuandmeid töödelda (sh koguda, säilitada jne) üksnes
kindlaksmääratud õiguspärastel eesmärkidel4 ning koguda tuleb eesmärgi seisukohalt
võimalikult vähe andmeid5. Isikuandmete töötlemise õiguslike aluste loetelu on sätestatud IKÜM
artiklis 6. Seda, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜM-i6
kohaselt selgitama ja tõendama iga andmetöötleja ise vastavalt töödeldavatele andmetele.
1
Vt üldmääruse art. 4 p.1; direktiivi art. 3 p. 1.
2
Vt üldmääruse põhjenduspunkt 26 ja 57 ning art. 11; direktiivi pp. 21.
3
IKÜM art 5 lg 1 p a
4
IKÜM art 5 lg 1 p b
5
IKÜM art 5 lg 1 p c
6
IKÜM art 5 lg 2
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee / registrikood 70004235
Kui õiguslik alus isikuandmete töötlemiseks puudub, siis andmeid töödelda (sh koguda, edastada,
salvestada vms) ei tohi. Niisama igaks juhuks andmeid töödelda, sh koguda, eesmärgiga, et ehk
hiljem on tarvis, ei ole samuti lubatud.
Vastuseks Teie kolmandale küsimusele selgitan, et andmete säilitamise tähtaja määramisel peab
järgima nii minimaalsuse kui eesmärgipärasuse nõudeid, kuid ka erinevatest seadustest tulenevaid
reegleid olenevalt kogutavatest andmetest. Säilitamiseks peab olema konkreetne põhjus ja ükski
isikuandmete hulk ei tohi olla igavene. Üldise printsiibi järgi peaks andmete säilitamine olema
minimaalne ehk andmed kustutatakse kohe kui eesmärk on täidetud. Kui osutub vajalikuks
andmeid säilitada kauem, siis tuleb seda põhjendada ja tuua välja konkreetne põhjendatud aeg,
kaua andmeid säilitatakse (näiteks raamatupidamisest tulenev säilitustähtaeg).
Isikul on õigus andmetöötleja poole pöörduda järgmiste taotlustega:
- nõuda võimalust oma andmetega tutvuda ehk siis saada teada, kuidas ja milliseid pöörduja
isikuandmeid töödeldakse, sh kellele tema isikuandmeid edastatakse (ettevõttevälised isikud, nt
maksu- ja tolliamet, tervisekassa vms) ning kes neid andmeid veel töötleb (ettevõttesisesed isikud
ning ettevõttega seotud isikud, nt raamatupidamisteenuse osutaja), mistõttu tasub eeskirjadesse
kirja panna ning andmesubjektidele tutvustada enne nende isikuandmete töötlemist.
- nõuda oma isikuandmete parandamist.
- nõuda oma isikuandmete kustutamist.
- nõuda oma isikuandmete töötlemise piiramist.
- nõuda oma isikuandmete ülekandmist.
Andmetöötlejal tuleb pöördumisele vastata 30 päeva jooksul ning anda vastus, kas isiku nõue
täidetakse või mitte. Keeldumist peab põhjendama ehk siis Teil tuleb selgitada, miks ja millisel
alusel Te neid mingeid isikuandmeid töötlete. Kui selgitusi ei anta või need ei ole selged ning
piisavad, siis saab andmesubjekt vajadusel pöörduda Andmekaitse Inspektsiooni.
Lisainformatsiooni saamiseks soovitame tutvuda Andmekaitse Inspektsiooni veebilehel avaldatud
korduma kippuvate küsimustega (KKK), samuti isikuandmete töötlemise üldjuhendiga, kus on
kirjas kõige olulisem, mida isikuandmete töötleja peab teadma. Samuti leiab informatsiooni
andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel siit.
Kui ettevõttel on vaja õiguslikku abi ja seisukohta lähtuvalt konkreetsetest asjaoludest ning
töödeldavatest andmetest, siis soovitame pöörduda õigusnõustajate (advokaadid, juristid) poole,
kes saavad aidata korrektse dokumentatsiooni koostamisel.
Samuti on andmetöötlejal võimalus tellida Andmekaitse Inspektsiooni uudiskiri, et olla kursis
andmetöötluse aktuaalsete uudistega. Uudiskirjaga saab liituda siit:
https://www.aki.ee/meist/teadlikkus/uudiskiri
Kokkuvõtteks selgitangi, et isiku pöördumise saamisel peate kustutama, piirama vms need
andmed, mille töötlemiseks puudub Teil õiguslik alus. Seda, millisel alusel andmetöötleja
andmeid kogub, peab rangelt teadma iga ettevõte ise. Oluline ongi teada, et kui nõudega (näiteks
kustutada) andmetöötleja poole pöördutakse ning ettevõte ei oska selgitada, millisel alusel ta neid
andmeid töötleb (nimi jne), siis tuleb need andmed koheselt kustutada.
Loodan, et minu selgitustest on abi.
Lugupidamisega
Liina Kroonberg
jurist
2 (3)
peadirektori volitusel
3 (3)