Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Ülle Tamme Teie 09.12.2024 ja 02.01.2025 [email protected] Meie 06.01.2025 nr 2.2-9/25/11-2 Vastus selgitustaotlusele Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse töötajate lähedaste isikuandmete töötlemise kohta. 1. Küsite pöördumises kas töötaja ülalpeetavate/pereliikmete kohta on teavet töösuhte ajal vaja/lubatud töödelda? Kui jah, siis millisel alusel? Esmalt tuleks tööandjal esitada endale küsimus, milleks on ettevõttel vaja töötajate lähedaste andmeid. Lihtsalt igaks juhuks andmete kogumine ei ole kooskõlas andmekaitse reeglitega. Näiteks ei ole Andmekaitse Inspektsiooni hinnangul põhjendatud tööandja nõue lihtsalt igaks juhuks tööle asudes loetleda üles kõik oma lähedased (vanemad, õed-vennad, abikaasa, lapsed) ning nii enda kui lähedaste aadressid, töökohad ning õppeasutused. Töötaja poolt peab lähedaste kohta andmete esitamine toimuma vajaduspõhiselt kooskõlas andmekaitset reguleerivate õigusaktidega ehk siis seadusest tuleneva aluse olemasolul. Seda, millisel eesmärgil ja alusel andmetöötleja andmeid töötleb, peab andmetöötleja ise teadma. Kui alus andmetöötluseks puudub, siis andmeid töödelda (sh koguda töötaja lähedaste andmeid ning neid säilitada) ei tohi. Isikuandmete kaitse nõuded Eestis on sätestatud peamiselt Euroopa Parlamendi ja Nõukogu määruses (EL) 2016/679 (IKÜM) ning isikuandmete kaitse seaduses (IKS). Töötajate andmete töötlemist reguleerivaid norme sisaldavad ka näiteks töölepingu seadus (TLS), töötervishoiu ja tööohutuse seadus (TTOS), aga ka näiteks raamatupidamise seadus (RPS) aga ka teised õigusaktid. Isikuandmete kaitse üldmääruse (IKÜM) art 5 lg 1 sätestab peamised andmetöötluspõhimõtted. Selle sätte kohaselt peab isikuandmete töötlemine olema seaduslik ja andmesubjektile läbipaistev (art 5 lg 1 p a); samuti tohib isikuandmeid koguda üksnes kindlaksmääratud õiguspärastel eesmärkidel (art 5 lg 1 p b) ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid (art 5 lg 1 p c). Igal juhul tuleb Teil läbi mõelda, kas küsite minimaalselt vajalikku andmekoosseisu eesmärgi täitmiseks ja kas andmesubjektid on sellisest andmetöötlusest enne andmete kogumist informeeritud. Nagu varasemalt selgitasin siis seda, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜM art 5 lg 2 kohaselt selgitama ja tõendama andmetöötleja ehk ettevõte ise. IKÜM artikkel 6 loetleb peamised õiguslikud alused andmetöötluseks (töösuhetes peamiselt lepingu täitmine (art 6 lg 1 p b) ja õigustatud huvi (art 6 lg 1 p f). Tööandja võib isikuandmeid töösuhtes töödelda töötajaga sõlmitud lepingu täitmiseks niivõrd kui see on vajalik seatud eesmärkide saavutamiseks. Töölepingu seaduse kohaselt teatab töötaja Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 tööandja soovil tööandjat kõigist töösuhtega seonduvatest olulistest asjaoludest, mille vastu tööandjal on õigustatud huvi1. Eelpoolkirjeldatud aluste kõrval tuleneb paljude isikuandmete töötlemise, sh edastamise kohustus erinormidest ja –seadustest (näiteks maksuseadused, tervishoiu korraldust reguleerivad seadused). Nii näiteks on seadustega reguleeritud, milliseid andmeid peab iga tööandja edastama Maksu- ja Tolliametile, Tööinspektsioonile, Tervisekassale jt. Näiteks näeb töölepingu seadus ette mitmesuguseid töötaja isikust ja tema perekondlikest seostest tulenevaid puhkusi. Selliseks põhjusteks on näiteks lapse sündimine või lapsendamine (rasedus- ja sünnituspuhkus; isapuhkus; lapsendaja või lapse kasvatamine (lapsehoolduspuhkus; lapsepuhkus; tasustamata lapsepuhkus). Selliste puhkuste andmiseks on tööandjal vaja andmeid puhkuse saamist õigustava asjaolu kohta. Osades ettevõtetes tuleb tööle asumise eeltingimusena täita enda ja oma lähedaste majanduslike huvide deklaratsioon. Selle eesmärgina on nimetatud töötaja ja ettevõtte vaheliste huvide konflikti vältimist. Kuivõrd Teie küsimus puudutas töötajate lähedaste andmete töötlemist töösuhetes üldiselt ning see sõltub paljuski konkreetsest töökohast, töösuhtest ja selle eripäradest, siis ei saa inspektsioon siinkohal tuua lõplikku loetelu olukordadest või näidetest töösuhetes andmete töötlemise kohta, kuid soovitan tutvuda Andmekaitse Inspektsiooni isikuandmete töötlemise üldjuhendiga, kus on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma. Samuti on antud juhul oluline juhend isikuandmete töötlemisest töösuhetes2. 2. Lisaks küsite, kas ja kui kaua on ülalpeetavate/pereliikmete kohta õigust andmeid säilitada pärast töötaja töösuhte lõppemist? Kui jah, siis mis alusel ja kui kauaks? Ka andmete säilitamine on andmetöötlus ja selles peab olema konkreetne põhjus, sest niisama (igaks juhuks) ei tohi andmeid töödelda. Mõnel juhul tuleneb andmete säilitamise kohustus ja tähtaeg seadusest. TLS § 5 lg 5 kohaselt säilitab tööandja töölepingu kirjalikku dokumenti töölepingu kehtivuse ajal ja 10 aastat töölepingu lõppemisest arvates. TTOS § 24 lg 11 kohaselt säilitatakse tööõnnetuse ja kutsehaigestumise uurimise andmeid 55 aastat. Raamatupidamise seaduse § 12 lg 1 kohaselt peab raamatupidamise dokumente säilitama 7 aastat. Selliseid eritähtaegu tuleneb veel ka teistest seadustest. Isegi kui konkreetne isikuandmete säilitustähtaeg ei tulene otseselt mõnest seadusest, tuleb siiski järgida andmetöötluse põhimõtteid, mis tulenevad IKÜM artiklist 5, näiteks minimaalsuse ja eesmärgipärasuse põhimõtted, mille kohaselt andmeid tuleb koguda võimalikult vähe lähtudes eesmärgist ning säilitada neid ainult seni, kuni andmeid vajatakse. Oluline on ka see, et ühel eesmärgil kogutud andmeid ei või kasutada hiljem mingil muul eesmärgil. Loodan, et selgitustest on abi. Lugupidamisega Mari-Liis Uprus jurist peadirektori volitusel 1 TLS § 15 lg 2 p 8 2 Tegemist on juhendiga, mis on loodud isikuandmete kaitse seaduse alusel ning enne IKÜMi ning juhend on seetõttu uuendamisel, kuid isikuandmete töötlemise põhimõtted on siiski samaks jäänud. 2 (2)