ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ASUTUSESISESEKS KASUTAMISEKS
Teabevaldaja: Andmekaitse Inspektsioon
Märge tehtud:
Juurdepääsupiirang kehtib kuni:
Alus:
Lp Nele Leht Teie 21.06.2024 nr 3-1/24/12-2
AS LHV Kindlustus Meie 31.12.2024 nr 2.1.-4/24/498-1266-13
[email protected]
Tagasiside andmetega tutvumise võimaldamise seire kohta
2024. a kevadel algatas Euroopa Andmekaitsenõukogu liikmesriikides ühistegevuse, mille
eesmärgiks oli saada põhjalikum ülevaade sellest, kuidas on tagatud andmesubjektide õigus
tutvuda andmetega, mis tuleneb isikuandmete kaitse üldmääruse (IKÜM) artiklist 15.
Ühistegevusest võttis osa ka Eesti Andmekaitse Inspektsioon. Andmekaitse Inspektsiooni seire
keskendus 2024. a andmesubjektide õiguste teostamisele kindlustussektoris, mille raames saadeti
täitmiseks küsimustik ka AS-le LHV Kindlustus (LHV Kindlustus, andmetöötleja).
Täname seires osalemast. Käesolevaga toome välja LHV Kindlustuse vastuste analüüsimisel
tuvastatud positiivsed tähelepanekud ja juhime tähelepanu ka töötlemise kitsaskohtadele.
1. Positiivsed praktikad:
a) andmesubjektile kinnituse saatmine taotluse kättesaamise ning vastamise tähtaja kohta;
b) taotluse esitamise võimalus mitmete erinevate kanalite kaudu (post, e-kiri, LHV
kasutajakeskkond või kliendikontoris kirjalikult);
c) võimalus ise tutvuda andmetega LHV kasutajakeskkonnas või ka kontoris;
d) regulaarne kontroll andmesubjektide pöördumistele vastamise osas (vastamise tähtaeg,
sisu jms);
e) kõnesalvestiste väljastamise puhul eelnevalt oma töötaja hääle moonutamine,
videofailide puhul hägustamine või kastiga kolmandate isikute katmine jt.
2. Kitsaskohad:
a) Andmetega tutvumise taotluste säilitamistähtaeg. LHV Kindlustus säilitab teavet
andmesubjektide andmetega tutvumise taotluste ja nendega seotud kirjavahetuse kohta
10 aastat arvates andmesubjektile viimase vastuse edastamisest. Säilitamise aluseks on
LHV Kindlustuse õigustatud huvi enda kaitsmiseks seoses võimalike õigusnõuetega.1
Säilitamise piirangu põhimõtte kohaselt (IKÜM art 5 lg 1 punkt e) peavad vastutavad töötlejad
tagama ka selliste isikuandmete (juurdepääsutaotlused ja nendega seotud kirjavahetus)
asjakohased säilitamistähtajad ja suutma nende asjakohasust tõendada (IKÜM art 5 lg 2).
Igasugune säilitamine peab olema objektiivselt põhjendatud. Siinkohal tuleks arvesse võtta, et
koondandmete pakett, mis sisaldab kõiki taotluse esitanud andmesubjektiga seoses töödeldavaid
isikuandmeid, annab mõnikord üksikasjaliku ülevaate andmesubjekti eraelust. Säilitamistähtaeg
peaks olema määratud objektiivsete kriteeriumite alusel ja dokumenteeritud põhjendustega.
Vastutavad töötlejad peaksid tagama, et juurdepääsutaotluse teatis salvestatakse eraldi muust
1
LHV Kindlustuse vastus küsimusele 2.2
andmesubjekti käsitlevast teabest, mille suhtes võidakse kohaldada muid säilitamistähtaegu ning
samuti muudest juurdepääsuõigustest vastutava töötleja organisatsioonis. Seega tuleks
andmetöötlejal analüüsida õigusnõuete esitamise sagedust senises praktikas juurdepääsuõiguste
taotlustega seonduvalt ja vaadata üle määratud 10-aastase säilitamistähtaja proportsionaalsus ning
vajalikkus.
b) Info vastuvõtjate kohta. LHV Kindlustus on öelnud, et edastab reeglina info
andmesubjektile vastuvõtjate kategooriate kaupa. Juhul, kui andmesubjekt soovib
saada informatsiooni täpsete vastuvõtjate kohta, siis vastav info talle ka väljastatakse.2
IKÜM artikli 15 lg 1 punkti c kohaselt tuleb andmesubjektile anda info vastuvõtjate või
vastuvõtjate kategooriate kohta. Vastutavad töötlejad peavad täpselt registreerima, millistele
üksustele nad isikuandmeid avaldavad ja kus need vastuvõtjad asuvad, et oleks võimalik nimetada
tegelikud vastuvõtjad vastavalt IKÜM artikli 15 lõike 1 punktile c. Artikli 15 kohaselt ette nähtud,
et kui andmesubjekt ei ole otsustanud teisiti, on vastutav töötleja kohustatud nimetama tegelikud
vastuvõtjad, välja arvatud juhul, kui neid vastuvõtjaid ei ole võimalik kindlaks teha või kui
vastutav töötleja tõendab, et andmesubjekti andmetega tutvumise taotlused on selgelt
põhjendamatud või ülemäärased isikuandmete kaitse üldmääruse artikli 12 lõike 5 tähenduses.3
c) Hindamise ajaline lähtepunkt. LHV Kindlustus on öelnud, et teavet selle kohta, kas
andmed on muutunud andmesubjekti taotluse esitamise ja väljavõtte tegemise
vahepealsel perioodil, andmesubjektile ei edastata.4
Läbipaistvuse põhimõtte järgimiseks peaksid vastutavad töötlejad teavitama andmesubjekti
sellest, millisele konkreetsele töötlemise ajahetkele vastutava töötleja vastuses viidatakse.
Mõnikord, näiteks tiheda suhtluse puhul, võib töötlemise hindamise hetke ja vastutavalt töötlejalt
vastuse saamise vahelisel ajal toimuda andmete täiendav töötlemine või muutmine. Kui vastutav
töötleja on sellistest muudatustest teadlik, on soovitatav lisada teave nende muudatuste kohta,
samuti teave täiendava töötlemise kohta, mis on vajalik taotlusele vastamiseks. Töödeldavate
andmete hindamine peab kajastama võimalikult täpselt olukorda ajal, mil vastutav töötleja saab
taotluse, ja vastus peaks hõlmama kõiki sel ajal kättesaadavaid andmeid. See tähendab, et vastutav
töötleja peab püüdma põhjendamatu viivituseta välja selgitada kõik andmesubjektiga seotud
andmetöötlustoimingud. Vastutav töötleja ei ole kohustatud esitama isikuandmeid, mida ta on
varem töödelnud, kuid mis ei ole enam tema käsutuses.5 Seega tuleks andmetöötlejal jälgida, kas
taotluse esitamise ja andmete väljastamise vahele jäänud ajavahemikus on toimunud muudatusi
andmesubjekti andmete töötlemises ning esitada ka see teave andmesubjektile.
d) Juurdepääsutaotluste vastuvõtmise viisid. LHV Kindlustus on oma vastuses öelnud, et
chati ja telefoni teel taotlusi vastu ei võeta ega lahendata: Kui taotlus tuleb chati või
telefoni teel, siis juhendatakse andmesubjekti taotlust esitama e-kirja teel,
kasutajakeskkonnas, kliendikontoris või posti teel.6 Kui andmesubjekt soovib teavet
saada suuliselt (telefoni teel), siis ta suunatakse esitama kirjalikku taotlust (taotluse
esitamine e-maili teel, LHV kasutajakeskkonna (iseteeninduskeskkonna) kaudu või
kliendikontoris).7
Selgitame, et vastutavad töötlejad peaksid olema valmis juurdepääsutaotlust vastu võtma ja
menetlema olenemata selle saamise viisist. Andmetega tutvumise õiguse kasutamiseks ei ole õiget
ega standardset viisi ning andmesubjektil ei tohiks olla takistusi oma õiguste kasutamisel.
Suunistes 01/2022 korratakse, et isikuandmete kaitse üldmääruses ei ole sätestatud mingeid
2
LHV Kindlustuse vastus küsimusele 5.7
3
Kohtuotsus, Euroopa Kohus, Österreichische Post AG, C-154/21
4
LHV Kindlustuse vastus küsimusele 5.16
5
Suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega. lk.18
6
LHV Kindlustuse vastus küsimusele 4.2
7
LHV Kindlustuse vastus küsimusele 4.7
2 (3)
ametlikke nõudeid andmetega tutvumise taotlustele, et vastutav töötleja hõlbustab andmetega
tutvumise õiguse kasutamist ega tohiks keelduda andmetega tutvumise taotluse alusel tegutsemast,
välja arvatud juhul, kui ta suudab tõendada, et ta ei suuda andmesubjekti tuvastada (IKÜM art 12
lõige 2). Seega tuleb andmetöötlejal läbi mõelda lahendused nende andmesubjektide taotluste
lahendamiseks, kes soovivad taotluse esitada nt suuliselt.
Koondraport seire tulemustega avalikustatakse Euroopa Andmekaitsenõukogu (EAKN) kodulehel
jaanuaris 2025.
Lugupidamisega
(allkirjastatud digitaalselt)
Annika Kaljula
jurist
peadirektori volitusel
3 (3)