Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Mart Kivi Teie 12.02.2025 Caverion Eesti AS [email protected] Meie 27.02.2025 nr 2.2-9/25/487-2 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie pöördumise seoses valvekaamerate kasutamisega. Esmalt selgitan, et Andmekaitse Inspektsioon ei saa selgitustaotlusele vastates anda konkreetsele juhtumile siduvat õiguslikku hinnangut, see on võimalik ainult järelevalvemenetluses. Inspektsiooni kohustus on märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse §-st 3 tulenevalt anda õigusalaseid selgitusi. Teie pöördumise põhjal võib mõista, et valvekaamerate salvestust on kasutatud juriidilise isiku poolt lepingu täitmise hindamiseks. Selgitan, et isikuandmete kaitse peamised nõuded tulenevad isikuandmete kaitse üldmäärusest1 (IKÜM), isikuandmete kaitse seadusest ning vastavatest eriseadustest. IKÜM-i reguleerimisesemeks on normid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel ja isikuandmete vaba liikumist ning eesmärgiks on üksnes füüsiliste isikute põhiõiguste ja - vabaduste kaitsmine, eriti nende isikuandmete kaitse õiguse tagamine2. See tähendab, et IKÜM-i ei rakendata ja isikuandmete kaitse reeglid ei kohaldu, kui tegu on juriidilise isiku andmetega. Teie pöördumisest nähtub, et kaameraga on salvestatud ja salvestiselt vaadatud füüsiliste isikute (Teie ettevõtte töötajate) tegevust ehk on töödeldud nende töötajate isikuandmeid. Kuivõrd kaameratega isikute jälgimine võib mõjutada nende isikute õigusi, siis selgitan järgnevat. Isikuandmeteks on igasugune teave otseselt või kaudselt tuvastatud või tuvastatava füüsilise isiku kohta ning töötlemine on mistahes isikuandmetega tehtav toiming3. Kaamerate abil on isik igal juhul tuvastatav, seega on videovalve puhul tegemist isikuandmete töötlemisega, mille osas tuleb järgida IKÜM-is sätestatud nõudeid. Isikuandmete vastutav töötleja4 – asutus või ettevõte, kes on paigaldanud kaamera ja seadnud selle kasutamise eesmärgi(d) ning valinud selleks vajalikud vahendid – on kohustatud tagama IKÜM artiklis 6 nimetatud töötlemise seaduslikkuse ja järgima IKÜM artiklis 5 kehtestatud isikuandmete töötlemise põhimõtteid. Lisaks põhimõtete täitmisele peab vastutav töötleja olema võimeline ka nende põhimõtete täitmist tõendama.5 1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta 2 IKÜM art 1 lõiked 1 ja 2 3 IKÜM art 4 punktid 1 ja 2 4 IKÜM art 4 punkt 7 5 IKÜM art 5 lg 2 Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 Isikuandmete töötlemise õiguslik alus6 Isikuandmete töötlemise seaduslikkus tähendab, et kaamera kasutamine ning seeläbi isikuandmete töötlemine peab tuginema isikuandmete kaitse üldmääruses või eriseaduses toodud õiguslikule alusele. Eriseaduses sätestatud aluse üheks näiteks on põhikooli ja gümnaasiumi seaduse § 44 lg 5, mis võimaldab koolil õpilaste ja koolitöötajate turvalisust ohustava olukorra ennetamiseks ja olukorrale reageerimiseks ning kooli vara kaitsmiseks kasutada kooli territooriumil pilti edastavat ja salvestavat jälgimisseadmestikku. Kui eriseadusest tulenevat alust ei ole, mis lubab kindlas tegevusvaldkonnas videovalvet korraldada, tuleb arvestada, et tõenäoliselt saab õiguslikuks aluseks olla õigustatud huvi7. Õigustatud huvile tuginemiseks peavad olema korraga täidetud kõik kolm tingimust: - vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on andmetöötluseks õigustatud huvi; - isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks; - vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava andmesubjekti huvid, põhiõigused ja – vabadused. Esiteks tuleb esmalt täpselt välja selgitada, kas ja millised on andmetöötleja enda konkreetsed õigustatud huvid. Ennekõike on oluline, et õigustatud huvi oleks kooskõlas kehtivate õigusaktidega, sõnastatud piisavalt selgelt (st piisavalt konkreetselt) ning reaalne ja hetkel esinev (st mitte spekulatiivne). Teiseks tuleb analüüsida ja läbi mõelda, millised on võimalikud andmesubjekti huvid või põhiõigused– ja vabadused, mida võidakse isikuandmete töötlemisega kahjustada. Kolmandaks tuleb tasakaalustada andmetöötleja õigustatud huvid andmesubjekti huvide ja põhiõigustega. Siinjuures võrreldakse isikuandmete töötlemisest (kogumisest, edastamisest, avalikustamisest) andmesubjektile tekkida võivat mõju vastutava töötleja ja/või kolmanda isiku õigustatud huvidega ning hinnatakse, kas ja millises ulatuses vastutava töötleja ja/või kolmanda isiku õigustatud huvi kaalub andmesubjekti huvid üles. Rõhutan, et vastutava töötleja või kolmanda isiku õigustatud huvid ei kaalu automaatselt üles kaitstavate andmesubjektide põhiõiguste ja -vabadustega seotud huve. Õigustatud huvi analüüsiga peab olema võimalik tutvuda igal andmesubjektil (nii kliendil kui töötajal). Kuidas õigustatud huvi täpselt hinnata, on inspektsioon selgitanud eraldi juhendis. Juhul kui andmetöötleja jätab õigustatud huvi analüüsi korrektselt tegemata (sh ei arvesta andmesubjekti õigustega), on kaamerate kasutamine keelatud ning tegemist on IKÜM nõuete rikkumisega. Lisaks õiguslikule aluse olemasolule, tuleb kaamerate kasutamisel tagada andmetöötluse kooskõla IKÜM artiklis 5 sätestatud isikuandmete töötlemise põhimõtetega. Seaduslikkuse, õigluse ja läbipaistvuse põhimõte8 Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik (st eelpool selgitatud õiguslik alus) ehk täielikult kooskõlas isikuandmete kaitse nõuetega. Lisaks peab isikuandmete töötlemine olema läbipaistev. Selleks peab kogu isikuandmete töötlemisega seotud teave olema andmesubjektile lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud. 6 IKÜM art 6 lg 1 7 IKÜM art 6 lg 1 punkt f 8 IKÜM art 5 lg 1 punkt a 2 (4) Esmajoones peaks see teave isikuandmete töötlemisest olema andmesubjektidele nähtav ja kättesaadav videovalve teavitussiltidena. Teavitussiltide puudumisel on andmesubjektidel keeruline teostada oma õigust saada teavet isikuandmete töötlemisest, sest pole teada, kellele kaamera kuulub ja kelle poole seetõttu pöörduda. Enne videoalasse jõudmist tuleb seega inimesele avaldada - kes on videovalve korraldaja ja milline on tema kontakt; - millisel eesmärgil ja õiguslikul alusel videovalvet korraldatakse ning - kust leiab täpsema info isikuandmete töötlemise kohta. Teavitussiltidelt peab ilmnema, kelle poole andmesubjekt saab pöörduda, kui ta tahab täiendavat infot. Täiendavat infot sisaldavad ja läbipaistvuse põhimõtet aitavad sisustada andmekaitsetingimused, mis tuleb koostada vastavalt tegelikule andmetöötlusele. Eesmärgi- ja säilitamise piirangu ning minimaalsuse põhimõte9 Selleks et hinnata, kas kaamerate kasutamine vastab eesmärgi piirangu ning võimalikult väheste andmete kogumise põhimõttele, tuleb: 1) tuua välja kõik konkreetsed kaamerate kasutamise eesmärgid; 2) hinnata, kas nimetatud eesmärkide täitmisel on kaamerate kasutamine vajalik või on selle täitmiseks muid ja andmesubjekti vähem riivavamaid meetmeid. Eesmärgikohasus tähendab, et kaamerat tohib kasutada ainult sellel eesmärgil, milleks kaamera on paigaldatud. Kui kaamera on pandud vara kaitseks, siis kaamerapilti ei tohi kasutada algsest erineval eesmärgil, näiteks avalikustada kellegi häbiposti panemiseks või meelelahutuseks jmt. Töösuhete puhul on inspektsiooni seisukoht, et tööandja poolt kaamerate paigaldamise eesmärgiks ei saa olla töötajate reaalajas jälgimine ega nende tegevuse kontrollimine. Lisaks on oluline tagada töötajatele võimalus kaamera vaateväljast eemal olla, paigutades kaamerad näiteks selliselt, et need ei rikuks töötaja privaatsust puhkeajal ega jälgiks töötaja tegevusi, mis ei ole seotud tööprotsessiga. Ühtlasi tuleb aga isikuandmete töötleja poolt seatud eesmärgi saavutamisel arvestada sellega, et isikuandmeid tuleb koguda nii vähe kui võimalik (minimaalsus). Igaks juhuks andmete kogumine on ebaseaduslik. Seega tuleb kaamera puhul kaardistada, milliseid andmeid tegelikkuses seatud eesmärgi saavutamiseks vaja on. Hinnata tuleb sedagi, et kui kaamera suunda ja vaatevälja on muudetud, kas see täidab enam üldse seatud eesmärki või tuleks antud kaameraga isikuandmete töötlemine lõpetada. Isikuandmete töötlemine tuleb lõpetada ja andmed kustutada või viia isikustamata kujule kohe, kui langeb ära töötlemise õiguslik alus ja/või on täidetud eesmärgid, milleks neid koguti. Isikuandmete töötlemise aeg peab piirduma rangelt minimaalsega. Selle tagamiseks, et isikuandmeid ei töödelda vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad isikuandmete kustutamiseks ning perioodiliseks läbivaatamiseks.10 Euroopa Andmekaitsenõukogu seisukoha järgi tuleb isikuandmed enamikul juhtudel kustutada – ideaaljuhul automaatselt – mõne päeva pärast. Mida pikem on ettenähtud videosalvestise säilitamisaeg (eriti kui see on pikem kui 72 tundi), seda rohkem tuleb põhjendada eesmärgi õiguspärasust ja säilitamise vajalikkust. Seega olukorras, kus eriseadusest ei tulene 72 tunnist pikemat säilitamistähtaega, tuleb vastutaval töötlejal salvestiste pikema säilitamise tähtaja vajadust selgelt ja arusaadavalt põhjendada.11 9 IKÜM art 5 lg 1 punktid b, c ja e 10 IKÜM art 5 lg 1 punkt c ja põhjenduspunkt 39. 11 Euroopa Andmekaitsenõukogu suunised 3/2019 isikuandmete töötlemise kohta videoseadmetes, lk 28 p 121, leitavad https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_et.pdf. 3 (4) Usaldusväärsuse ja konfidentsiaalsuse põhimõte12 Nende põhimõtete puhul peetakse silmas, et isikuandmeid tuleb töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse, sh kaitseb loata või ebaseadusliku töötlemise eest. Kaamera kasutamisel tuleb määrata, kellel on õigus kaamerasalvestisele ligi pääseda. Selleks, et kontrollida andmetöötluse õiguspärasust ka tagantjärgi, tuleb kasutusele võtta vastavad turvameetmed. Näiteks logimissüsteem on viis, mis võimaldab kontrollida seda, et kaamera otsepilti või salvestisi ei oleks vaadatud ebaseaduslikult, sh ilma põhjuseta. Lisaks selgitan, et kui andmesubjektil, st isikul, kelle isikuandmeid on kaamera vahendusel töödeldud, on kahtlus kaamera kasutamise õiguspärasuses, tuleb tal kõigepealt võtta ühendust selle kinnisasja omanikuga, kus kaamerat kasutatakse. Kaamera paigaldaja/kasutaja/omanik saab ja peab isikule selgitama, kas ja millisel õiguslikul alusel ja eesmärgil on kaamera paigaldatud, samuti muid kaamera kasutamisega seotud asjaolusid, nt kaamera vaatevälja ulatust, kuidas andmeid töödeldakse, kui kaua säilitatakse jmt. Andmesubjektil13 on õigus esitada vastutavale töötlejale vastuväiteid, samuti nõuda teavet oma andmete töötlemise kohta, andmete parandamist, kustutamist, kasutamise piiramist jne. Vastama peab kaameraomanik IKÜM art 12 lõikest 3 tulenevalt kuu aja jooksul. Kokkuvõtlikult, kaamerate kasutamise isikuandmete töötlemise õiguspärasuse kontrollimisel tuleb lähtuda eelkõige kaamerate kasutamise õiguslikust alusest ning hinnata seda koosmõjus kaamerate kasutamise eesmärgi ja teiste IKÜM artiklis 5 sätestatud põhimõtetega. Isikuandmete vastutava töötleja kohustus on kaameratega seotud isikuandmete töötlemise tingimused dokumenteerida ning vajadusel töötlemise õiguspärasust tõendada. Täiendavalt leiate täpsemat infot kaamerate kasutamise kohta Andmekaitse Inspektsiooni koostatud juhendist, KKK-st ja videovalve korraldajale koostatud nõuannetest. Loodan, et minu selgitustest oli abi. Lugupidamisega Anu Suviste jurist peadirektori volitusel 12 IKÜM artikkel 5 lg 1 punkt f 13 Vt IKÜM artiklid 12-22 ja AKI veebilehel alajaotus isikuandmed – inimese õigused 4 (4)