Pakiveoteenuse osutajate seire kokkuvõte ja soovitused

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lugupeetud pakiveoteenuse osutajate seires Meie 18.12.2024 nr 2.1.-4/23/1015-3224-1 osalejad Pakiveoteenuse osutajate seire kokkuvõte ja soovitused Andmekaitse Inspektsioon (AKI) algatas isikuandmete kaitse üldmääruse (IKÜM) artikkel 58 ja isikuandmete kaitse seaduse § 56 alusel omaalgatusliku seire, mille eesmärk oli kaardistada pakiveoteenuse osutajate ja nendele SMS või e-posti vahendusteenuse osutajate poolt isikuandmete töötlemisega kaasnevad võimalikud kitsaskohad klientide teavitamisel. Seire küsimustiku saatsime oktoobris 2023 viiele pakiveoteenuse osutajale – AS Eesti Post (Omniva), Itella Estonia OÜ, DPD Eesti AS, DHL Express Estonia AS ja Venipak Eesti OÜ-le. Vastasid kõik küsimustiku saajad. Küsimustikus palusime järgnevate teavet: kas ja milliseid SMS/e-posti vahendusteenuse osutajaid pakiveoteenuse ettevõtted kasutavad ning millistes rollides ettevõte ja SMS/e-posti vahendusteenuse osutaja endid määratlevad (nt vastutav töötleja, kaasvastutav töötleja, volitatud töötleja); kas poolte vahel sõlmitud andmetöötlusleping vastab IKÜM artiklist 28 tulenevatele nõuetele; millises riigis vahendusteenuse osutaja isikuandmeid töötleb; kas vahendusteenuse osutaja kasutab omakorda alltöötlejaid; kas on tellitud või läbi viidud turvaaudit igapäevaste tegevuste kohta andmesüsteemide turvalisuse tagamisel; isikuandmete töötlemisprotsessi ja andmevahetuse kirjeldust kliendi teavitamisel paki saabumisest ning isikuandmete töötlemisregistri väljavõtet vastava töötlemistoimingu kohta. Andmetöötlusleping ja andmetöötleja roll Igasugune isikuandmete töötlemine volitatud töötleja poolt peab olema reguleeritud lepingu või Euroopa Liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, dokument peab olema kirjalik, sh elektrooniline. Andmetöötluslepingus peavad olema üksikasjalikult kirjeldatud töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad ning poolte kohustused ja õigused1. Seega vahendusteenuse kasutamisel on vajalik sõlmida isikuandmete töötlemist reguleeriv leping. Euroopa Andmekaitsenõukogu on selgitanud oma suunises 07/2020, et vastutava töötleja ja volitatud töötleja mõisted on funktsionaalsed: nende eesmärk on jaotada vastutus töötlejate tegeliku rolli kohaselt. See tähendab, et töötleja õiguslik staatus kas vastutava või volitatud töötlejana tuleb põhimõtteliselt määrata selle alusel, milline on tema tegelik tegevus konkreetses olukorras, mitte ametliku määramise teel (näiteks lepinguga). See tähendab, et rollide jagamine 1 Andmetöötluslepingu elemendid on loetletud IKÜM artiklis 28. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 peaks tavaliselt tulenema juhtumi faktiliste elementide või asjaolude analüüsist ja sellisena ei ole see läbiräägitav.2 Hea on tõdeda, et kõigil seires osalenud pakiveoteenuse osutajatel, kes kasutasid SMS ja/või e- posti vahendusteenuse pakkujaid, on sõlmitud kirjalikud andmetöötluslepingud. Valdavalt on pakiveoteenuse osutajad konkreetselt paki saabumisest teavitamisega seotud töötlemistoimingute osas end määratlenud kui vastutav töötleja ja vahendusteenuse pakkujat volitatud töötlejana. Vastustest selgus, et osad seires osalenud ettevõtted käsitlevad SMS/e-posti vahendusteenuse iseseisva vastutatava töötlejana. Tulenevalt sellest soovitame hinnata iga konkreetse töötlemistoimingu puhul vahendusteenuse pakkuja kasutamisel omavahelisi rolle. Nimelt on vastutava ja volitatud töötleja mõistetel IKÜM-i kohaldamisel oluline roll, sest nende alusel määratakse kindlaks, kes vastutab erinevate andmekaitse-eeskirjade järgimise eest. Läbipaistvuse tagamine vahendusteenuse pakkuja kasutamisel Igasugune isikuandmete töötlemine, sh andmete edastamine vahendusteenuse pakkujale, peab olema seaduslik, õiglane ja läbipaistev. Kui pakiveoteenuse osutaja kasutab SMS/e-posti vahendusteenust, et teavitada klienti paki saabumisest, edastab vastutav töötleja3 isikuandmed volitatud töötlejale4. Sellisest andmeedastusest tuleb vastutavalt töötlejal ka andmesubjekte teavitada.5 Andmekaitse töörühm on oma suunistes määruse 2015/679 kohase läbipaistvuse kohta selgitanud, et kooskõlas õigluse põhimõttega peavad vastutavad töötlejad esitama vastuvõtjate kohta teavet, mis on andmesubjektide jaoks kõige olulisem. Praktikas on need tavaliselt nimega vastuvõtjad, et andmesubjektid teaksid täpselt, kellel on nende isikuandmed. Kui vastutavad töötlejad otsustavad esitada vastuvõtjate kategooriad, peaks teave olema võimalikult konkreetne, näidates vastuvõtja liigi (s.t märkides nende tegevusalad), tööstusharu, sektori või alamsektori ning vastuvõtjate asukoha.6 Seire raames kontrollisime andmetöötlejate veebilehel avalikult kättesaadavates andmekaitsetingimustes kajastatud teavet vastuvõtjate kohta. Andmekaitsetingimuste vaatlusest nähtus, et mõnel juhul ei olnud andmekaitsetingimustes teave vastuvõtja või vähemalt vastuvõtja kategooria kohta piisavalt konkreetselt kajastatud. Seega tuleb ettevõtetel oma andmekaitsetingimused üle vaadata ning tagada, et nendes kajastuks ka teave vastuvõtjate kohta piisavalt konkreetselt. Isikuandmete edastamine Isikuandmete edastamisel Euroopa Liidu ja Euroopa Majanduspiirkonna (EMP - Norra, Island, Liechtenstein) riikides, peab olema õiguslik alus, nagu seda on vaja igaks isikuandmete töötlemise toiminguks, kuid täiendavaid kaitsemeetmeid, mis tulenevad riikide vahelisest andmeedastusest, rakendama ei pea. 2 Euroopa Andmekaitsenõukogu. Suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses, ver 2.0. 07.07.2021, p 12, lk 9. 3 IKÜM art 4 punkti 7 kohaselt on vastutav töötleja füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. 4 IKÜM art 4 punkti 8 kohaselt on volitatud töötleja füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel. 5 IKÜM art 13 lg 1 punkt e ja art 14 lg 1 punkt e kohaselt tuleb andmesubjekti teavitada isikuandmete vastuvõtjatest (või vastuvõtjate kategooriatest). 6 Artikli 29 töörühm. Suunised määruse 2016/679 kohase läbipaistvuse kohta, WP 260 rev.01, lk 37. 2 (4) Isikuandmete edastamisel Euroopa Liidu või Euroopa Majanduspiirkonna välisesse riiki ehk kolmandasse riiki saab edastamine toimuda kahel viisil – kaitse piisavuse otsuse alusel või sellise otsuse puudumise korral asjakohaste kaitsemeetmete alusel7. Kolmandatele riikidele isikuandmete edastamise kohta tuleb ka andmesubjekti läbi andmekaitsetingimuste teavitada.8 Seejuures tuleks täpsustada IKÜM-i asjakohane artikkel, mis võimaldab andmete kolmandasse riiki edastamist, ja vastav mehhanism (nt artikli 45 kohane kaitse piisavuse otsus / artikli 47 kohased siduvad kontsernisisesed eeskirjad / artikli 46 lõike 2 kohased standardsed andmekaitseklauslid / artikli 49 kohased erandid ja kaitsemeetmed jne). Samuti tuleb esitada teave selle kohta, kus ja kuidas asjakohane dokument on kättesaadav või kust ja kuidas see saadakse, näiteks andes kasutatava mehhanismi lingi. Õigluse põhimõtte kohaselt peaks kolmandatele riikidele edastamise kohta esitatud teave olema andmesubjektidele võimalikult tähendusrikas; see tähendab üldiselt seda, et kolmandad riigid on ära nimetatud.9 Pakiveoteenuse osutajad kasutavad erinevaid SMS-vahendusteenuse pakkujaid, kelle tegevuskoht on nii Euroopa Liidu liikmesriigis (sh Eestis) kui ka väljaspool seda (sh kolmandas riigis). E- kirjade vahendusteenust valdavalt ei kasutata, kuna olemas on ettevõttesisene e-posti lahendus. Küll aga tuvastasime, et mõni teenusepakkuja kasutab otse või e-posti vahendusteenuse alltöövõtjana kolmanda riigi päritolu ettevõtet. Seire raames soovisime muuhulgas teavet, kas pakiveoteenuse osutajad on enne SMS-i ja/või e- posti vahendusteenuste kasutusele võtmist selgitanud välja, kus füüsiliselt isikuandmeid töödeldakse (nt millises riigis asub teenusepakkuja server). Osa pakiveoteenuse osutajaid olid selle kindlaks teinud, osa aga mitte või tugineti vahendusteenuse osutaja kinnitusele, et töötlemine vastab andmekaitse nõuetele. Siinkohal märgime, et nii vastutaval töötlejal kui ka volitatud töötlejal on kohustus jälgida, kas isikuandmeid edastatakse Euroopa Liidust või Euroopa Majanduspiirkonnast välja ning vajaduse korral tuleb rakendada sobivad kaitsemeetmed sellisele edastusele. Pakiveoteenuse osutajate andmekaitsetingimuste vaatlusest nähtus, et mõnel andmetöötlejal esineb puuduseid andmesubjekti teavitamisel andmete kolmandasse riiki edastamisest. Isikuandmete töötlemise turvalisus Digitaalses andmetöötluses on oluline töötlemise usaldusväärsus ja konfidentsiaalsus.10 Andmetöötleja peab seejuures tagama, et andmed on täpsed ning neid ei ole juhuslikult või tahtlikult muudetud või rikutud. Konfidentsiaalsuse tagamiseks kaitstakse andmeid volitamata juurdepääsu eest, milleks rakendatakse erinevaid turvameetmeid. Turvameetmete rakendamine hõlmab nii füüsiliste meetmete kasutamist (nt lukustatud uksed) kui ka ajakohaste küberturvalisuse põhimõtete järgimist. Kõik seires osalejad olid läbi viinud erinevaid turvaauditeid ning rakendavad oma igapäevases töös erinevaid meetmeid andmetöötlussüsteemide turvalisuse tagamiseks. 7 Vt lähemalt IKÜM artiklid 44-50. Piisava andmekaitse tasemega riikide loetelu leiad: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy- decisions_en 8 Teavitamise nõue tuleneb IKÜM art 13 lg 1 punktist f ja art 14 lg 1 punktist f. 9 Artikli 29 töörühm. Suunised määruse 2016/679 kohase läbipaistvuse kohta, WP 260 rev.01, lk 37-38. 10 Vastavalt IKÜM art 5 lg 1 punktile f tagatakse isikuandmete töötlemisel, et isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“). 3 (4) Soovitused 1. Teenusepakkuja valikul hinnake põhjalikult, kas teenusepakkuja võimaldab vastutaval töötlejal teostada piisavat kontrolli isikuandmete töötlemise nõuete järgimise osas. Hindamisel tuleb arvestada isikuandmete töötlemise olemust, ulatust, konteksti ja eesmärke ning võimalikke riske andmesubjektidele. 2. Sõlmige koostööpartneritega kirjalik andmetöötlusleping, kus muuhulgas on selgelt määratletud ka omavahelised rollid. 3. Vastutava ja volitatud töötleja vaheline leping peab sisaldama IKÜM artiklis 28 sätestatud elemente ning olema sõlmitud konkreetset andmetöötlustoiminguid silmas pidades. 4. Vastutava töötlejana olge teadlikud, kas isikuandmeid töödeldakse väljaspool Euroopa Liitu või Euroopa Majanduspiirkonda. Juhul, kui volitatud töötleja või tema alltöötleja paigutab isikuandmed kolmandasse riiki, siis andmeedastus peab vastama IKÜM-s sätestatud nõuetele. 5. Läbipaistvuse põhimõtte tagamiseks kajastage andmekaitsetingimustes muuhulgas teave andmete vastuvõtjate (või vastuvõtjate kategooria) kohta piisava konkreetsusega ning asjakohasel juhul ka teave kolmandatesse riikidesse edastamise kohta. 6. Isikuandmete edastamisel veenduge alati, et just see andmekoosseis on vajalik konkreetse eesmärgi saavutamiseks. 7. Korraldage töötajatele andmekaitsealaseid koolitusi, sh andmekaitseintsidentide tuvastamise ja teavitamise kohta. 8. Võimaldage töötajatel juurdepääs ainult sellistele andmetele, mis on vajalikud talle tööülesannete täitmiseks. Nii maandate võimalust eksimusteks andmetöötluses ja teabe jagamiseks selleks mitte õigust omavatele isikutele. 9. Andmete turvaliseks töötlemiseks11: a. Tagage kõikidest olulistest andmetest varukoopiad. Varundusel soovitame järgida 3-2- 1 reeglit: olulistest andmetest kolm koopiat, mis salvestatakse kahele erinevale salvestusmeediumile ning ühte koopiat hoida süsteemiväliselt turvalises keskkonnas (st väljaspool võrku, mida töötajad infosüsteemide kasutamiseks kasutavad). o Varukoopiad peaksid olema krüpteeritud ja ligipääsetavad ainult volitatud isikutele, kasutades tugevaid autentimismeetodeid, näiteks mitmefaktoriline autentimine. o Varukoopiatest andmete taastamisvõimekust tuleb regulaarselt testida ning säilitamispoliitikat hallata, tagades, et koopiad vaadatakse üle ja uuendatakse vastavalt tehnoloogia või turvanõuete muutumisele. b. Kasutage infosüsteemides logimist tasemel, mis võimaldab vajadusel erinevate andmetöötlustoimingute uurimist. o Kasutage logiserverit, mis kogub erinevate rakenduste logid kokku ja teeb need analüüsi ja visualiseerimise kõlbulikuks. o Varundage logid. o Rakendage infosüsteemides automaatset monitoorimist, et kiiresti avastada ja reageerida igasugusele kahtlasele tegevusele. c. Teostage regulaarselt andmekaitse auditeid ja riskianalüüse, et tuvastada võimalikke nõrkusi ja parandada turvameetmeid. Lugupidamisega (allkirjastatud digitaalselt) Virve Lans valdkonnajuht peadirektori volitusel 11 Vt lisaks: Ardi Jürgens. Arvamusartikkel: Taskukohased juhised andmete turvamiseks, 17.06.2024 4 (4)