Isikuandmete kaitse seaduse eelnõu esitamine kooskõlastamiseks ja arvamuse avaldamiseks

Ministeeriumid Meie 24.11.2017 nr 8-1/8310 Isikuandmete kaitse seaduse eelnõu esitamine kooskõlastamiseks ja arvamuse avaldamiseks Esitame ministeeriumidele kooskõlastamiseks ja Õiguskantsleri Kantseleile, Riigikohtule, Andmekaitse Inspektsioonile, Riigiprokuratuurile, Registrite ja Infosüsteemide Keskusele, Politsei- ja Piirivalveametile, Eesti Kohtuekspertiisi Instituudile, Tarbijakaitseametile, Eesti Advokatuurile, Eesti Linnade Liidule, Eesti Maaomavalitsuste Liidule, MTÜ Lastekaitse Liidule, SA Kutsekojale, Pangaliidule, Tartu Ülikooli õigusteaduskonnale, Tallinna Tehnikaülikooli õiguse instituudile, Tallinna Ülikooli õigusakadeemiale, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti E-Kaubanduse Liidule, Eesti Haiglate Liidule, Eesti Kaupmeeste Liidule, Eesti Kindlustusseltside Liidule, Eesti Turvaettevõtete Liidule ja Eesti Ajakirjanike Liidule arvamuse avaldamiseks isikuandmete kaitse seaduse eelnõu. Eelnõu ja seletuskirja leiate eelnõude infosüsteemist (EIS) aadressil: http://eelnoud.valitsus.ee. Palume Teie kooskõlastused või arvamused esitada hiljemalt 20.12.2017. Lugupidamisega (allkirjastatud digitaalselt) Urmas Reinsalu Minister Arvamuse avaldamiseks: Õiguskantsleri Kantselei Riigikohus Andmekaitse Inspektsioon Tarbijakaitseamet Eesti Linnade Liit Eesti Maaomavalitsuste Liit MTÜ Lastekaitse Liit SA Kutsekoda Pangaliit Tartu Ülikooli õigusteaduskond Tallinna Tehnikaülikooli õiguse instituut Tallinna Ülikooli õigusakadeemia Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Eesti E-kaubanduse Liit Eesti Haiglate Liit Eesti Kaupmeeste Liit Eesti Kindlustusseltside Liit Eesti Turvaettevõtete Liit Eesti Ajakirjanike Liit Riigiprokuratuur Registrite ja Infosüsteemide Keskus Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected] / www.just.ee Registrikood 70000898 Politsei- ja Piirivalveamet Eesti Kohtuekspertiisi Instituut Eesti Advokatuur Merike Kaev 620 8262 [email protected] Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected] / www.just.ee Registrikood 70000898  EELNÕU 06.11.2017 Isikuandmete kaitse seadus1 1. peatükk Üldsätted § 1. Seaduse reguleerimisala (1) Käesolev seadus reguleerib füüsiliste isikute kaitset isikuandmete töötlemisel ulatuses, milles see täpsustab ja täiendab sätteid, mis sisalduvad Euroopa Parlamendi ja nõukogu määruses (EL) nr 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88), ning füüsiliste isikute kaitset isikuandmete töötlemisel õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel. (2) Käesolev seadus sätestab: 1) isikuandmete töötlemise õiguslikud alused; 2) isikuandmete töötlemise õiguslikud alused, mida peavad järgima õiguskaitseasutused süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel; 3) isikuandmete töötlemise nõuete täitmise üle riikliku ja haldusjärelevalve teostamise korra; 4) vastutuse isikuandmete töötlemise nõuete rikkumise eest. § 2. Seaduse kohaldamine Käesolevat seadust kohaldatakse: 1) avaliku võimu kandjale; 2) vastutavale ja volitatud töötlejale isikuandmete töötlemisel Eestis; 3) kohtumenetlusele menetlusseadustikes sätestatud erisustega; 4) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 kohaldamisalasse jäävatele isikutele koos käesolevast seadusest tulenevate erisustega. § 3. Haldusmenetluse seaduse kohaldamine Käesolevas seaduses ettenähtud haldusmenetlusele kohaldatakse haldusmenetluse seaduse sätteid, arvestades käesoleva seaduse erisusi. 1 § 4. Avaliku võimu kandja (1) Avaliku võimu kandja käesoleva seaduse tähenduses on isik, kes teostab avalikku võimu või täidab talle seadusega või seaduse alusel pandud avalikes huvides olevaid ülesandeid. Avaliku võimu kandja on näiteks riik, kohaliku omavalitsuse üksus, muu avalik-õiguslik juriidiline isik või füüsiline isik või eraõiguslik juriidiline isik, kes teostab avalikku võimu või täidab avalikke ülesandeid väljaspool alluvussuhet. (2) Avaliku võimu kandja nimel töötleb isikuandmeid avalikku võimu kandev asutus, kogu või isik. 2. peatükk Isikuandmete töötlemise õiguslikud alused 1. jagu Isikuandmete töötlemine avaliku võimu kandja poolt § 5. Isikuandmete töötlemise seaduslikkus Avaliku võimu kandja võib töödelda isikuandmeid üksnes seaduse alusel avaliku ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. § 6. Isikuandmete töötlemine muul eesmärgil (1) Muul eesmärgil võrreldes sellega, mille jaoks isikuandmed algselt on kogutud, võib avaliku võimu kandja töödelda neid üksnes seaduse alusel, kui andmete edasine töötlemine on vajalik: 1) avalikku korda ähvardava ohu väljaselgitamiseks ja tõrjumiseks või korrarikkumise kõrvaldamiseks; 2) süütegude tõkestamiseks, avastamiseks, menetlemiseks või karistuste täideviimiseks või 3) andmesubjekti ilmselgelt esinevate huvide kaitseks ning puudub alus arvata, et andmesubjekt keelduks muul eesmärgil töötlemiseks nõusoleku andmisest. (2) Isikuandmete töötlemisel muul eesmärgil teavitab vastutav töötleja andmesubjekti kõnealusest muust eesmärgist ja tema õigustest, sealhulgas õigusest esitada vastuväiteid, välja arvatud juhul, kui see takistab käesoleva paragrahvi lõikes 1 nimetatud eesmärkide saavutamist. 2. jagu Eriliiki isikuandmete töötlemine § 7. Eriliiki isikuandmete töötlemine (1) Vastutav ja volitatud töötleja võivad töödelda eriliiki isikuandmeid üksnes seaduse alusel, kui töötlemine on vajalik: 1) tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusaktidest tulenevate vastutava töötleja või andmesubjekti kohustuste täitmiseks ja õiguste realiseerimiseks; 2 2) ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks, meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi võimaldamiseks või tervishoiuteenuste või sotsiaalhoolekande ja -teenuste korraldamiseks; 3) rahvatervise valdkonna avalikes huvides, sealhulgas kaitseks suure piiriülese terviseohu korral või kõrgete kvaliteedi- ja ohutusnõuete tagamiseks tervishoius ning ravimite ja meditsiiniseadmete puhul; 4) avalikes huvides toimuva teadusuuringu või statistilisel eesmärgil ning töötlemine on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õigust ning vastutav töötleja tagab käesoleva seaduse § 8 lõikes 1 sätestatud meetmete võtmise andmesubjekti põhiõiguste ja huvide kaitseks; 5) avalikes huvides toimuva arhiveerimise eesmärgil ning vastutav töötleja tagab käesoleva seaduse § 8 lõikes 1 sätestatud meetmete võtmise andmesubjekti põhiõiguste ja huvide kaitseks. (2) Käesoleva paragrahvi lõike 1 punktides 2 ja 3 sätestatud eesmärgil eriliiki isikuandmete töötlemisel on isikuandmeid töötlev töötaja kohustatud hoidma ametisaladust. (3) Avaliku võimu kandja võib lisaks käesoleva paragrahvi lõikes 1 nimetatud eesmärkidele töödelda eriliiki isikuandmeid üksnes seaduse alusel, kui see on vajalik: 1) olulise avaliku huviga seotud põhjustel; 2) et ennetada olulist ohtu avalikule korrale või riiklikule julgeolekule. (4) Käesoleva paragrahvi lõikes 3 sätestatud töötlemine on lubatud, kui käesoleva paragrahvi lõikes 3 sätestatud huvid on kaalukamad kui andmesubjekti huvid. § 8. Eriliiki isikuandmete töötlemisele kohaldatavad meetmed Andmesubjekti põhiõiguste ja -vabaduste tagamiseks kohaldavad vastutav ja volitatud töötleja käesoleva seaduse § 7 lõigetes 1 ja 3 sätestatud töötlemisele asjakohaseid meetmeid, sealhulgas: 1) tehnilisi ja korralduslikke kaitsemeetmeid, mis tagavad, et töötlemine toimub kooskõlas käesoleva seaduse ja Euroopa Parlamendi ja nõukogu määrusega (EL) nr 2016/679; 2) meetmeid, mis võimaldavad hiljem kontrollida ja kindlaks teha, kas isikuandmed on lisatud, muudetud, kustutatud või muul viisil töödeldud ja kes seda on teinud; 3) andmekaitseametniku määramist; 4) isikuandmete pseudonüümimist; 5) isikuandmete krüptimist; 6) konkreetseid juhiseid, mis tagavad isikuandmete edastamise või muul eesmärgil töötlemise kooskõlas käesoleva seaduse ja Euroopa Parlamendi ja nõukogu määrusega (EL) nr 2016/679. 3  3. jagu Isikuandmete töötlemise erialused § 9. Isikuandmete töötlemine ajakirjanduslikul eesmärgil (1) Isikuandmeid võib ilma andmesubjekti nõusolekuta töödelda ajakirjanduslikul eesmärgil, eelkõige avalikustada meedias, kui selleks on ülekaalukas avalik huvi ning see on kooskõlas ajakirjanduseetika põhimõtetega. Andmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi. (2) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 14 ja 15 sätestatud õigust võib piirata niivõrd, kuivõrd see võib kahjustada ajakirjandusvabaduse olemust, teise isiku au ja huve. (3) Andmesubjektil on õigus igal ajal nõuda isikuandmete avalikustajalt isikuandmete avalikustamise lõpetamist, välja arvatud juhul, kui avalikustamine toimub seaduse alusel või kooskõlas käesoleva paragrahvi lõikega 1 ning andmete jätkuv avalikustamine ei kahjusta ülemäära andmesubjekti õigusi. (4) Andmesubjektil on õigus igal ajal nõuda avalikustatud isikuandmete töötlejalt isikuandmete töötlemise lõpetamist, kui seadus ei sätesta teisiti ja see on tehniliselt võimalik ega too kaasa ebaproportsionaalselt suuri kulutusi. § 10. Isikuandmete töötlemine kunstilise ja kirjandusliku eneseväljenduse tarbeks (1) Isikuandmeid võib ilma andmesubjekti nõusolekuta kunstilise ja kirjandusliku eneseväljenduse eesmärgil töödelda, eelkõige avalikustada, kui see ei kahjusta ülemäära andmesubjekti õigusi. (2) Andmesubjektil on õigus igal ajal nõuda isikuandmete avalikustajalt isikuandmete avalikustamise lõpetamist, välja arvatud juhul, kui avalikustamine toimub seaduse alusel või kooskõlas käesoleva paragrahvi lõikega 1 ning andmete jätkuv avalikustamine ei kahjusta ülemäära andmesubjekti õigusi. (3) Andmesubjektil on õigus igal ajal nõuda avalikustatud isikuandmete töötlejalt isikuandmete töötlemise lõpetamist, kui seadus ei sätesta teisiti ja see on tehniliselt võimalik ega too kaasa ebaproportsionaalselt suuri kulutusi. § 11. Isikuandmete töötlemine teadusuuringu ja riikliku statistika vajadusteks (1) Andmesubjekti nõusolekuta võib teadusuuringu või riikliku statistika vajadusteks töödelda andmesubjekti kohta käivaid andmeid eelkõige pseudonüümitud või samaväärset andmekaitse taset võimaldaval kujul. Enne isikuandmete üleandmist teadusuuringu või riikliku statistika vajadustel töötlemiseks asendatakse isiku tuvastamist võimaldavad andmed isikut mittetuvastavate andmetega. 4 (2) Depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse uuesti isikut tuvastavaks, on lubatud ainult täiendavate teadusuuringute või riikliku statistika vajadusteks. Isikuandmete töötleja määrab nimeliselt isiku, kellel on ligipääs depseudonüümimist võimaldavatele andmetele. (3) Teadusuuringu või riikliku statistika vajadusteks andmesubjekti nõusolekuta tema kohta käivate andmete töötlemine andmesubjekti tuvastamist võimaldaval kujul on lubatud üksnes juhul, kui on täidetud järgmised tingimused: 1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või oleks neid ebamõistlikult raske saavutada; 2) kui selleks on teadusuuringu teostaja hinnangul ülekaalukas avalik huvi; 3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi; 4) kui isikuandmete töötleja on isikuandmete kaitseks võtnud käesoleva seaduse § 8 lõikes 1 nimetatud meetmed. (4) Andmekaitse Inspektsioon kontrollib enne isikuandmete töötlemise algust käesolevas paragrahvis sätestatud tingimuste täitmist, kuulates vastavas valdkonnas seaduse alusel loodud eetikakomitee olemasolu korral ära ka nimetatud eetikakomitee seisukoha. (5) Kui isikuandmeid töödeldakse teadusuuringu või statistilisel eesmärgil, võib vastutav või volitatud töötleja Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks teadusuuringu või statistilise eesmärgi saavutamise või takistab seda oluliselt. § 12. Isikuandmete töötlemine avalikes huvides toimuva arhiveerimise eesmärgil (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 15 sätestatud andmesubjekti õigust andmetega tutvuda võib vastutav või volitatud töötleja piirata niivõrd, kuivõrd arhiivimaterjali ei ole inimese nime kaudu identifitseeritud või kui andmesubjekt ei ole andnud sellist teavet, mis lubaks arhiivimaterjali mõistliku pingutusega üles leida. (2) Kui isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise eesmärgil, võib vastutatav või volitatud töötleja Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 16 sätestatud andmesubjekti õigust andmete parandamisele piirata. Kui andmesubjekt vaidlustab isikuandmete õigsuse, võib ta esitada vastuväite. (3) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 18 lõike 1 punktides a, b ja d ning artiklites 20 ja 21 sätestatud andmesubjekti õigusi võib vastutav või volitatud töötleja piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks avalikes huvides arhiveerimise eesmärgi saavutamise või takistab seda oluliselt. 5  4. jagu Muud juhud isikuandmete töötlemisel § 13. Lapse isikuandmete töötlemine infoühiskonna teenuste pakkumisel (1) Kui kohaldatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 6 lõike 1 punkti a seoses infoühiskonna teenuste pakkumisega otse lapsele, on lapse isikuandmete töötlemine lubatud ainult juhul, kui laps on vähemalt 14-aastane. (2) Kui laps on noorem kui 14-aastane, on selline isikuandmete töötlemine lubatud üksnes sellisel juhul ja sellises ulatuses, milleks on nõusoleku andnud lapse seaduslik esindaja. (3) Lapse seaduslikul esindajal on õigus vähemalt 14-aastase lapse nõusolek igal ajal tagasi võtta, kui lapse antud nõusolek kahjustab ebaproportsionaalselt lapse huve. § 14. Isikuandmete töötlemine pärast andmesubjekti surma (1) Pärast andmesubjekti surma on tema isikuandmete töötlemine lubatud andmesubjekti füüsilisest isikust pärija nõusolekul, välja arvatud juhul, kui isikuandmete töötlemiseks ei ole nõusolekut vaja, või juhul, kui andmesubjekti surmast on möödunud 30 aastat. (2) Mitme pärija olemasolul on andmesubjekti isikuandmete töötlemine lubatud neist ükskõik kelle nõusolekul. (3) Andmesubjekti nõusolek kehtib andmesubjekti eluajal ja 30 aastat pärast andmesubjekti surma, kui andmesubjekt ei ole otsustanud teisiti. (4) Käesoleva paragrahvi lõikes 1 nimetatud nõusolekut ei ole vaja, kui töödeldavateks isikuandmeteks on üksnes andmesubjekti nimi, sugu, sünni- ja surmaaeg ning surma fakt. § 15. Isikuandmete töötlemine krediidivaldkonnas (1) Isikute krediidivõimelisuse hindamise või muul samasugusel eesmärgil kolmandatele isikutele edastamiseks mõeldud isikuandmete töötlemine on lubatud üksnes juhul, kui: 1) kolmandal isikul on isikuandmete töötlemiseks õigustatud huvi; 2) vastutav või volitatud töötleja on tuvastanud kolmanda isiku õigustatud huvi, kontrollinud edastatavate andmete õigsust ning registreerinud andmeedastuse. (2) Käesoleva paragrahvi lõikes 1 nimetatud eesmärgil andmete kogumine ja kolmandatele isikutele edastamine ei ole lubatud, kui: 1) tegemist on eriliiki isikuandmete töötlemisega Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 9 lõike 1 tähenduses; 2) see kahjustaks ülemäära andmesubjekti õigustatud huve; 3) lepingu rikkumisest on möödunud vähem kui 30 päeva; 4) kohustuse rikkumise lõppemisest on möödunud rohkem kui kolm aastat. 6 § 16. Isikuandmete töötlemine avalikus kohas ning isikute ja vara kaitseks (1) Avalikul üritusel ei ole vaja heli- või pildimaterjali jäädvustamiseks küsida andmesubjekti nõusolekut. Kui see ei too kaasa ebaproportsionaalseid kulutusi, tuleb andmesubjekti teavitada heli- või pildimaterjali jäädvustamise faktist. Teavitamiskohustus ei kehti avalike ürituste puhul, mille jäädvustamist avalikustamise eesmärgil võib mõistlikult eeldada. (2) Isikute või vara kaitseks võib isikuandmeid edastavat või salvestavat jälgimisseadmestikku kasutada üksnes juhul, kui sellega ei kahjustata ülemäära andmesubjekti õigustatud huve ning kogutavaid andmeid kasutatakse ainult nende kogumise eesmärgist lähtuvalt. Andmesubjekti teavitatakse sellise andmetöötluse korral jälgimisseadmestiku kasutamise faktist ning andmed jälgimisseadmestiku kasutamise, töötleja nime ja kontaktandmete kohta tehakse piisavalt selgelt teatavaks. 3. peatükk Isikuandmete töötlemine õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel ja karistuste täideviimisel 1. jagu Üldsätted § 17. Käesoleva peatüki kohaldamine (1) Käesolevat peatükki kohaldatakse isikuandmete töötlemisele õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel. (2) Käesolevat peatükki ei kohaldata isikuandmete töötlemisele riikliku järelevalve teostamisel. § 18. Terminid Käesolevas peatükis kohaldatakse lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 4 sätestatule järgmisi termineid: 1) eriliiki isikuandmed – käesoleva peatüki tähenduses isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta; 2) õiguskaitseasutus – käesoleva peatüki tähenduses asutus, kes on pädev seaduse alusel süütegusid tõkestama, avastama, menetlema või karistusi täide viima. 7  2. jagu Põhimõtted § 19. Isikuandmete töötlemise põhimõtted Isikuandmete töötlemisel tuleb järgida järgmisi põhimõtteid: 1) seaduslikkus ja õiglus – isikuandmeid töödeldakse seaduslikult ja õiglaselt; 2) eesmärgikohasus – isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud õiguspärastel eesmärkidel ning neid ei töödelda viisil, mis on nende eesmärkidega vastuolus; 3) kvaliteet – isikuandmed peavad olema piisavad ja asjakohased ning ei tohi olla ülemäärased andmetöötluse eesmärkide suhtes; 4) õigsus – isikuandmed peavad olema õiged ja vajaduse korral ajakohastatud; mõistlike meetmetega tagatakse, et andmetöötluse eesmärgi seisukohast ebaõiged isikuandmed kustutatakse või parandatakse viivitamata; 5) säilitamine – isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekti tuvastada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; 6) turvalisus – isikuandmeid töödeldakse viisil, mis tagab nende turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustumise eest, rakendades asjakohaseid tehnilisi või korralduslikke meetmeid. § 20. Isikuandmete töötlemise seaduslikkus Õiguskaitseasutus võib isikuandmeid töödelda seaduse alusel, kui nende töötlemine on vajalik süütegude tõkestamise, avastamise, menetlemise või karistuste täideviimise eesmärgist tuleneva ülesande täitmiseks. § 21. Isikuandmete säilitamine (1) Vastutav töötleja on kohustatud kehtestama töödeldavate isikuandmete säilitamise tähtaja. (2) Käesoleva paragrahvi lõike 1 alusel sätestatud säilitamise tähtaega on lubatud pikendada üksnes põhjendatud juhul. (3) Kui isikuandmete säilitamise tähtaeg lõpeb, on vastutav töötleja kohustatud isikuandmed jäädavalt kustutama. § 22. Andmesubjektide eri kategooriate eristamine Kui see on võimalik, eristab vastutav töötleja asjakohasel juhul isikuandmete töötlemisel andmesubjektide eri kategooriatena menetlusalused isikud, kahtlustatavad, süüdistatavad, kannatanud ja tunnistajad. § 23. Hinnangutel põhinevate isikuandmete eristamine 8 Vastutav töötleja eristab võimaluste piires faktidel põhinevad isikuandmed isiklikel hinnangutel põhinevatest isikuandmetest. § 24. Automatiseeritud töötlemine (1) Keelatud on teha üksnes automatiseeritud töötlusel põhinevat otsust, sealhulgas profiilianalüüsi, kui see toob andmesubjektile kaasa teda puudutavaid kahjulikke õiguslikke tagajärgi või avaldab talle muud märkimisväärset mõju. Sellist otsust võib teha, kui otsuse tegemine on lubatud seadusega, milles on sätestatud asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitseks. (2) Andmesubjektil on käesoleva paragrahvi lõikes 1 nimetatud otsuse suhtes õigus esitada vastutavale töötlejale vastuväiteid oma õigustatud huvi kaitseks. (3) Käesoleva paragrahvi lõikes 1 nimetatud otsus ei tohi põhineda eriliiki isikuandmetel, välja arvatud juhul, kui kohaldatakse sobivaid meetmeid andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks. (4) Keelatud on profiilianalüüsil põhinev otsus, mille tulemusel füüsilisi isikuid diskrimineeritakse eriliiki isikuandmete alusel. 3. jagu Andmesubjekti õigused § 25. Andmesubjektile kättesaadavaks tehtav teave (1) Vastutav töötleja on kohustatud avalikustama järgmise teabe: 1) isikuandmete töötlemise kavandatud eesmärk; 2) isiku poolt enda andmetega tutvumise ning nende parandamise, kustutamise või piiramise õigus ja õiguste teostamise kord; 3) vastutava töötleja ning andmekaitseametniku nimi ja kontaktandmed; 4) Andmekaitse Inspektsiooni kontaktandmed; 5) õigus esitada kaebus Andmekaitse Inspektsioonile, kui isikuandmete töötlemisel on rikutud andmesubjekti õigusi. (2) Käesoleva paragrahvi lõikes 1 nimetatud avalikustamisena käsitatakse teabe avalikustamist vastutava töötleja veebilehel või muul andmesubjektile kergesti juurdepääsetavas asukohas. § 26. Andmesubjekti teavitamisel antav teave (1) Kui seaduses on sätestatud kohustus teavitada andmesubjekti tema isikuandmete töötlemisest, annab vastutav töötleja andmesubjektile järgmise täiendava teabe: 1) käesoleva seaduse § 25 lõikes 1 nimetatud teave; 2) isikuandmete töötlemise õiguslik alus; 3) isikuandmete säilitamise tähtaeg või säilitamise tähtaja määramise alused; 9 4) vastuvõtjate kategooriad, kellele on lubatud edastada isikuandmeid; 5) vajaduse korral muu täiendav teave. (2) Vastutav töötleja võib käesoleva paragrahvi lõikes 1 nimetatud teabe andmesubjektile esitada hiljem, piirata selle esitamist või jätta selle esitamata, kui see võib: 1) takistada või kahjustada süüteo tõkestamist, avastamist, menetlemist või karistuste täideviimist; 2) kahjustada teise isiku õigusi ja vabadusi; 3) kahjustada riiklikku julgeolekut. § 27. Andmesubjekti õigus saada teavet ja enda kohta käivaid isikuandmeid (1) Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse. Andmesubjekti soovil peab vastutav töötleja andmesubjektile teatavaks tegema: 1) tema kohta käivad isikuandmed ja asjaomaste isikuandmete liigid; 2) isikuandmete päritolu käsitleva olemasoleva teabe; 3) isikuandmete töötlemise eesmärgi ja õigusliku aluse; 4) vastuvõtjad või nende kategooriad, kellele andmesubjekti isikuandmeid on avalikustatud; 5) kavandatava isikuandmete säilitamise tähtaja või säilitamise tähtaja määramise alused; 6) õiguse taotleda vastutavalt töötlejalt andmesubjekti isikuandmete parandamist, kustutamist või nende töötlemise piiramist; 7) õiguse esitada Andmekaitse Inspektsioonile kaebus ning Andmekaitse Inspektsiooni kontaktandmed. (2) Vastutav töötleja võib käesoleva paragrahvi lõikes 1 nimetatud teabe andmesubjektile esitada hiljem, piirata selle esitamist või keelduda selle väljastamisest, kui see võib: 1) takistada või kahjustada süüteo tõkestamist, avastamist, menetlemist või karistuste täideviimist; 2) kahjustada teise isiku õigusi ja vabadusi; 3) kahjustada riiklikku julgeolekut. (3) Vastutav töötleja teavitab andmesubjekti viivitamata kirjalikult käesoleva paragrahvi lõikes 1 nimetatud teabega tutvumise piiramisest või sellise teabega tutvumisest keeldumisest ja selle põhjustest. Vastutav töötleja võib jätta põhjendused esitamata, kui sellise teabe andmine kahjustaks mõnda käesoleva paragrahvi lõikes 2 nimetatud eesmärki. (4) Andmesubjekti teavitamisel käesoleva paragrahvi lõike 3 kohaselt teavitab vastutav töötleja andmesubjekti tema õigusest pöörduda otsuse vaidlustamiseks Andmekaitse Inspektsiooni või kohtu poole. (5) Vastutav töötleja dokumenteerib käesoleva paragrahvi lõike 2 alusel tehtud otsuse faktilised ja õiguslikud alused ning teeb teabe vajaduse korral kättesaadavaks Andmekaitse Inspektsioonile. § 28. Andmesubjekti õigus nõuda isikuandmete parandamist ja kustutamist 10 (1) Andmesubjektil on õigus nõuda vastutavalt töötlejalt teda puudutavate ebaõigete, faktidel põhinevate isikuandmete parandamist. (2) Andmesubjektil on õigus nõuda vastutavalt töötlejalt teda puudutavate mittetäielike isikuandmete täiendamist, kui see on isikuandmete töötlemise eesmärki arvestades asjakohane. (3) Andmesubjektil on õigus nõuda vastutavalt töötlejalt kogutud isikuandmete kustutamist, kui isikuandmete töötlemine ei ole seaduse alusel lubatud või rikub isikuandmete töötlemise põhimõtteid või on vajalik vastutava töötleja seaduses sätestatud kohustuse täitmiseks. (4) Vastutav töötleja piirab isikuandmete kustutamise asemel nende töötlemist, kui: 1) andmesubjekt vaidlustab isikuandmete õigsuse ning nende õigsust või ebaõigsust ei ole võimalik kindlaks teha; 2) isikuandmeid tuleb säilitada tõendamise eesmärgil. (5) Vastutav töötleja on kohustatud andmesubjekti teavitama käesoleva paragrahvi lõikes 4 nimetatud piirangu kõrvaldamisest. (6) Vastutav töötleja on kohustatud andmesubjekti viivitamata teavitama kirjalikult keeldumisest isikuandmeid parandada või kustutada või nende töötlemist piirata ning keeldumise põhjustest. Vastutav töötleja võib jätta põhjendused esitamata, kui sellise teabe andmine kahjustaks mõnda käesoleva seaduse § 27 lõikes 2 nimetatud eesmärki. (7) Andmesubjekti teavitamisel käesoleva paragrahvi lõike 6 kohaselt teavitab vastutav töötleja andmesubjekti tema õigusest pöörduda otsuse vaidlustamiseks Andmekaitse Inspektsiooni või kohtu poole. § 29. Vastutava töötleja kohustus teavitada isikuandmete parandamisest, kustutamisest ja nende töötlemise piiramisest (1) Vastutav töötleja on isikuandmete parandamise korral kohustatud viivitamata teavitama sellest pädevat asutust, kellelt ebaõiged isikuandmed on saadud. (2) Kui isikuandmeid on käesoleva seaduse § 28 alusel parandatud, kustutatud või nende töötlemist on piiratud, on vastutav töötleja kohustatud isikuandmete parandamise, kustutamise või nende töötlemise piiramise korral teavitama vastuvõtjaid. (3) Käesoleva paragrahvi lõikes 2 nimetatud vastuvõtjad on kohustatud parandama või kustutama nende vastutusalasse kuuluvad isikuandmed või piirama nende töötlemist. § 30. Andmesubjekti õiguste teostamise kord (1) Vastutav töötleja on kohustatud vastama andmesubjekti taotlusele kokkuvõtlikus, arusaadavas ja hõlpsasti kättesaadavas vormis, kasutades selget ja lihtsat sõnastust. Andmesubjekti taotlusele vastatakse võimaluse korral andmesubjekti soovitud viisil. 11 (2) Vastutav töötleja teavitab andmesubjekti põhjendamatu viivituseta ühe kuu jooksul pärast taotluse saamist andmesubjekti taotluse alusel tehtud toimingutest. (3) Vastutav töötleja võib andmesubjektilt küsida taotluse täitmiseks kaasnevate seaduses või seaduse alusel antud õigusaktis sätestatud mõistlike kulude hüvitamist või keelduda taotletud meetmete võtmisest, kui andmesubjekti taotlus on põhjendamatu või ülemäärane. (4) Vastutav töötleja tuvastab andmesubjekti isiku ning tema õiguse saada teavet ja tema kohta käivaid isikuandmeid või nõuda isikuandmete parandamist ja kustutamist. § 31. Andmesubjekti õigus pöörduda Andmekaitse Inspektsiooni poole (1) Kui andmesubjekt leiab, et isikuandmete töötlemisel rikutakse tema õigusi, on tal õigus pöörduda kaebusega Andmekaitse Inspektsiooni poole. (2) Andmekaitse Inspektsioon teavitab andmesubjekti tema kaebuse alusel tehtud otsusest ja õigusest pöörduda Andmekaitse Inspektsiooni otsuse vaidlustamiseks kohtusse. (3) Kui andmesubjekti kaebust on pädev lahendama teise Euroopa Liidu liikmesriigi pädev järelevalveasutus, suunab Andmekaitse Inspektsioon andmesubjekti oma kaebuse esitamiseks teise Euroopa Liidu liikmesriigi pädeva järelevalveasutuse poole. 4. jagu Vastutava ja volitatud töötleja kohustused § 32. Vastutav ja volitatud töötleja (1) Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada käesoleva seaduse nõuete täitmine isikuandmete töötlemisel. Vastutav töötleja on kohustatud vajaduse korral tõendama käesolevas seaduses sätestatud nõuete täitmist. (2) Vastutav töötleja annab volitatud töötlejale kohustuslikke juhiseid isikuandmete töötlemiseks ja vastutab selle eest, et volitatud töötleja täidab isikuandmete töötlemise nõudeid. (3) Vastutav töötleja võib kasutada üksnes selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et isikuandmete töötlemine vastab käesoleva seaduse nõuetele, ning tagab andmesubjekti õiguste kaitse. (4) Volitatud töötleja võib isikuandmete töötlemist edasi volitada üksnes vastutava töötleja kirjalikul eri- või üldloal ning tingimusel, et ei ületata volitatud töötleja volituste mahtu. Kirjaliku üldloaga teavitab volitatud töötleja vastutavat töötlejat alati teiste volitatud töötlejate lisamisest või asendamisest. Vastutav töötleja võib sellisel juhul esitada selliste muudatuste suhtes vastuväiteid. 12 (5) Kui volitatud töötleja määrab käesolevat seadust rikkudes kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on kõnealune volitatud töötleja selle töötlemise suhtes vastutav töötleja. § 33. Isikuandmete töötlemine vastutava töötleja nimel (1) Vastutav töötleja võib määrata volitatud töötleja isikuandmeid töötlema seaduse, seaduse alusel antud õigusakti või kirjaliku lepingu alusel, milles sätestatakse isikuandmete töötlemise sisu ja kestus, laad ja eesmärk, töödeldavate isikuandmete liik ja andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. (2) Käesoleva paragrahvi lõikes 1 nimetatud seaduses, seaduse alusel antud õigusaktis või lepingus sätestatakse eelkõige, et volitatud töötleja on kohustatud: 1) tegutsema üksnes vastutava töötleja juhiste alusel; 2) tagama, et isikuandmeid töötlema volitatud isik hoiab saladuses tööülesannete täitmisel teatavaks saanud isikuandmeid; 3) tagama andmesubjekti õiguste kaitse; 4) pärast andmetöötlusteenuse osutamise lõppu kustutama või tagastama vastutavale töötlejale tema valikul kõik isikuandmed ja kustutama olemasolevad koopiad, kui seaduses ei ole sätestatud teisiti; 5) tegema vastutavale töötlejale kättesaadavaks isikuandmete töötlemisega seonduva teabe, mis on vajalik käesolevas paragrahvis sätestatud nõuete täitmise tõendamiseks; 6) järgima käesoleva seaduse § 32 lõikes 4 ja käesolevas paragrahvis sätestatud tingimusi teise volitatud töötleja kaasamiseks. § 34. Kaasvastutavad töötlejad (1) Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. (2) Kaasvastutavad töötlejad määravad iga kaasvastutava töötleja vastutuse kokkuleppega, kui seaduses ei ole sätestatud teisiti. (3) Käesoleva paragrahvi lõikes 2 nimetatud kokkuleppes määratakse andmesubjektide jaoks kindlaks kontaktpunkt, mille kaudu on andmesubjektil võimalik oma õigusi teostada. (4) Andmesubjekt võib käesolevast seadusest tulenevaid õigusi kasutada iga vastutava töötleja suhtes. § 35. Isikuandmete töötlemine vastutava töötleja juhiste alusel Vastutava või volitatud töötleja volituse alusel isikuandmeid töötlev isik on kohustatud neid töötlema üksnes vastutava töötleja antud juhiste kohaselt, kui seaduses ei ole sätestatud teisiti. § 36. Lõimitud andmekaitse ja vaikimisi andmekaitse 13 (1) Vastutav ja volitatud töötleja võtavad töötlemisvahendite kindlaksmääramiseks ning isikuandmete töötlemiseks asjakohaseid tehnilisi ja korralduslikke meetmeid ning rakendavad neid järjepidevalt. (2) Vastutav ja volitatud töötleja rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise iga konkreetse eesmärgi saavutamiseks. § 37. Isikuandmete töötlemise nõuded Vastutav ja volitatud töötleja on isikuandmete töötlemisel kohustatud: 1) parandama ebaõiged isikuandmed; 2) kustutama isikuandmed, kui isikuandmete töötlemine ei ole seaduse alusel lubatud või rikub isikuandmete töötlemise põhimõtteid; 3) teavitama vastuvõtjat, kui isikuandmed on edastatud ebaseaduslikult või on edastatud ebaõiged isikuandmed; 4) tegema koostööd Andmekaitse Inspektsiooniga. § 38. Isikuandmete edastamise nõuded (1) Vastutav töötleja on kohustatud võtma ja rakendama asjakohaseid meetmeid selleks, et mittetäielikke, ebaõigeid või aegunud isikuandmeid ei edastata ega tehta kättesaadavaks. (2) Vastutav töötleja lisab isikuandmete edastamisel võimaluse korral vajaliku teabe, mis võimaldab andmeid vastu võtval pädeval asutusel hinnata isikuandmete õigsust, täielikkust, usaldusväärsust ja ajakohasust. (3) Kui isikuandmete töötlemisele kohaldatakse eritingimusi, teavitab vastutav töötleja selliste isikuandmete edastamisel vastuvõtjat kõnealustest tingimustest ja nende järgimise nõudest. (4) Isikuandmete edastamisel teistele Euroopa Liidus asuvatele vastuvõtjatele ning Euroopa Liidu toimimise lepingu V jaotise 4. ja 5. peatüki kohaselt loodud asutustele ei kohaldata täiendavaid isikuandmete töötlemise eritingimusi võrreldes nendega, mida kohaldatakse isikuandmete edastamisele riigisiseselt. § 39. Logimine (1) Vastutav ja volitatud töötleja peavad logisid vähemalt järgmiste automatiseeritud töötlussüsteemides tehtavate isikuandmete töötlemise toimingute kohta: 1) kogumine; 2) muutmine; 3) lugemine; 4) avalikustamine; 5) edastamine; 6) ühendamine; 7) kustutamine. 14 (2) Lugemist, avalikustamist ja edastamist kajastavad logid peavad võimaldama kindlaks teha nimetatud toimingute tegemise põhjenduse, kuupäeva ja kellaaja ning teabe isikuandmeid lugenud, avalikustanud või edastanud isiku kohta, samuti selliste isikuandmete vastuvõtjate nimed. (3) Logisid on lubatud kasutada isikuandmete töötlemise toimingute seaduslikkuse kontrollimiseks, siseseireks, isikuandmete terviklikkuse ja turvalisuse tagamiseks ning süüteomenetluse läbiviimiseks. (4) Andmekaitse Inspektsiooni taotlusel teevad vastutav ja volitatud töötleja käesoleva paragrahvi lõikes 1 nimetatud teabe Andmekaitse Inspektsioonile kättesaadavaks. (5) Vastutav töötleja kehtestab logide säilitamise tähtajad. § 40. Isikuandmete töötlemise toimingute registreerimine (1) Vastutav töötleja registreerib kõik tema vastutusel toimuvate isikuandmete töötlemise toimingute liigid. Registreerida tuleb järgmine teave: 1) vastutava töötleja ja asjakohasel juhul kaasvastutava töötleja nimi ja kontaktandmed; 2) asjakohasel juhul andmekaitseametniku nimi ja kontaktandmed; 3) isikuandmete töötlemise eesmärgid; 4) vastuvõtjad või nende kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse; 5) andmesubjektide kategooriate ja isikuandmete liikide kirjeldus; 6) asjakohasel juhul profiilianalüüsi kasutamine; 7) asjakohasel juhul isikuandmete kolmandale riigile või rahvusvahelisele organisatsioonile edastamise liigid; 8) teave isikuandmete töötlemise õigusliku aluse kohta; 9) võimaluse korral isikuandmete eriliikide kustutamiseks ette nähtud tähtajad; 10) võimaluse korral käesoleva seaduse § 46 lõike 2 alusel võetud isikuandmete töötlemise organisatsiooniliste ja tehniliste turvameetmete kirjeldus. (2) Volitatud töötleja registreerib kõik vastutava töötleja nimel toimuvate isikuandmete töötlemisega seotud toimingute liigid. Registreerida tuleb järgmine teave: 1) volitatud töötleja nimi ja kontaktandmed, samuti selle vastutava töötleja nimi ja kontaktandmed, kelle nimel volitatud töötleja tegutseb; 2) asjakohasel juhul andmekaitseametniku nimi ja kontaktandmed; 3) isikuandmete töötlemise liigid, mida tehakse vastutava töötleja nimel; 4) asjakohasel juhul isikuandmete edastamine kolmandale riigile või rahvusvahelisele organisatsioonile, sealhulgas andmed kõnealuse kolmanda riigi või rahvusvahelise organisatsiooni tuvastamiseks; 5) võimaluse korral käesoleva seaduse § 46 lõike 2 alusel võetud isikuandmete töötlemise organisatsiooniliste ja tehniliste turvameetmete kirjeldus. (3) Käesoleva paragrahvi lõigetes 1 ja 2 nimetatud teave registreeritakse kirjalikku taasesitamist võimaldavas vormis. 15 (4) Andmekaitse Inspektsiooni taotlusel teeb vastutav või volitatud töötleja käesoleva paragrahvi lõigetes 1 ja 2 nimetatud dokumendid Andmekaitse Inspektsioonile kättesaadavaks. § 41. Andmekaitsealane mõjuhinnang (1) Vastutav töötleja hindab enne isikuandmete töötlemist kavandatava isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete töötlemise tulemusena võib töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes kaasneda suur oht füüsilise isiku õigustele ja vabadustele. (2) Mõjuhinnang peab hõlmama vähemalt järgmist: 1) kavandatud isikuandmete töötlemise toimingute ja töötlemise eesmärkide süstemaatiline kirjeldus; 2) hinnang isikuandmete töötlemise toimingute vajalikkuse ja proportsionaalsuse kohta, arvestades isikuandmete töötlemise eesmärke; 3) andmesubjekti õigusi ja vabadusi puudutavate ohtude hinnang; 4) ohtude käsitlemiseks kavandatud meetmed, sealhulgas tagatised, turvameetmed ja mehhanismid isikuandmete kaitse tagamiseks ja käesoleva seaduse järgimise tõendamiseks, võttes arvesse andmesubjekti ja teiste asjaomaste isikute õigusi ja õigustatud huve. § 42. Eelnev konsulteerimine Andmekaitse Inspektsiooniga (1) Kui vastutav või volitatud töötleja kavatseb töödelda isikuandmeid, mis kantakse uude loodavasse andmete kogumisse, peab ta eelnevalt konsulteerima Andmekaitse Inspektsiooniga järgmistel juhtudel: 1) käesoleva seaduse § 41 alusel antud andmekaitsealasest mõjuhinnangust nähtub, et isikuandmete töötlemise tulemusena tekiks vastutava töötleja poolt ohu leevendamiseks võetavate meetmete puudumise korral suur oht; 2) isikuandmete töötlemise laadiga kaasneb suur oht andmesubjekti õigustele ja vabadustele. (2) Isikuandmete töötlemise nõuetele vastavuse hindamiseks esitab vastutav töötleja Andmekaitse Inspektsioonile järgmise teabe: 1) käesoleva seaduse §-s 41 sätestatud andmekaitsealase mõjuhinnangu; 2) kavandatud isikuandmete töötlemise eesmärgi ja vahendid; 3) andmesubjekti õiguste ja vabaduste kaitseks ettenähtud meetmed ja tagatised; 4) asjakohasel juhul andmekaitseametniku kontaktandmed; 5) asjakohasel juhul vastutava töötleja, kaasvastutavate töötlejate ja volitatud töötlejate vastutuse valdkonnad isikuandmete töötlemisel; 6) muu Andmekaitse Inspektsiooni taotletud teabe. (3) Kui Andmekaitse Inspektsiooni hinnangul rikuks käesoleva paragrahvi lõikes 1 nimetatud kavandatav isikuandmete töötlemine käesoleva seaduse nõudeid, annab Andmekaitse Inspektsioon vastutavale ja asjakohasel juhul volitatud töötlejale nõu, milliseid täiendavaid meetmeid tuleks võtta. 16 (4) Andmekaitse Inspektsioon annab vastutavale või volitatud töötlejale nõu kuue nädala jooksul alates käesoleva paragrahvi lõikes 2 nimetatud teabe kättesaamisest arvates. (5) Käesoleva paragrahvi lõikes 4 nimetatud tähtaega võib pikendada ühe kuu võrra, arvestades kavandatud isikuandmete töötlemise keerukust. Andmekaitse Inspektsioon teavitab vastutavat või volitatud töötlejat tähtaja pikendamisest ühe kuu jooksul alates konsulteerimise taotluse saamisest. Tähtaja pikendamist tuleb põhjendada. (6) Andmekaitse Inspektsioon võib koostada loetelu isikuandmete töötlemise toimingutest, mille puhul käesoleva paragrahvi lõikes 1 nimetatud eelnev konsulteerimine on vajalik. 5. jagu Andmekaitsespetsialist § 43. Andmekaitsespetsialisti määramine (1) Õiguskaitseasutus määrab andmekaitsespetsialisti. Sellest kohustusest on vabastatud kohtud õigusemõistmise funktsiooni täites. (2) Õiguskaitseasutus võib mitme asutuse või organi jaoks määrata ühe andmekaitsespetsialisti olenevalt nende organisatsioonilisest struktuurist ja suurusest. (3) Andmekaitsespetsialisti määramisel lähtutakse tema kutseoskustest ja eksperditeadmistest andmekaitsealaste õigusaktide ja tava kohta ning suutlikkusest täita käesoleva seaduse §-s 44 sätestatud ülesandeid. (4) Andmekaitsespetsialist võib olla avaliku võimu kandja teenistuses olev ametnik või töötaja või täita ülesandeid teenuslepingu alusel. § 44. Andmekaitsespetsialisti ülesanded (1) Andmekaitsespetsialist täidab vähemalt järgmisi ülesandeid: 1) teavitab ja nõustab avaliku võimu kandjat ning tema ülesandel isikuandmeid töötlevaid ametnikke või töötajaid seoses nende kohustustega, mis tulenevad käesolevast seadusest ja muudest Euroopa Liidu või liikmesriikide andmekaitsenormidest; 2) tagab kooskõla käesoleva seaduse, muude Euroopa Liidu või liikmesriikide andmekaitsenormidega ja vastutava töötleja sise-eeskirjadega, mis käsitlevad isikuandmete kaitse põhimõtteid, isikuandmete töötlemises osalevate ametnike ja töötajate teadlikkuse suurendamist ja koolitamist; 3) annab nõu seoses andmekaitsealase mõjuhinnanguga ning jälgib selle toimimist vastavalt käesoleva seaduse §-le 41; 4) teeb koostööd Andmekaitse Inspektsiooniga; 5) tegutseb isikuandmete töötlemise küsimustes Andmekaitse Inspektsiooni kontaktisikuna, sealhulgas käesoleva seaduse §-s 42 sätestatud eelneva konsulteerimise käigus, ning konsulteerib vajaduse korral ka muudes küsimustes. 17 (2) Kohtu andmekaitsespetsialist ei täida käesoleva paragrahvi lõikes 1 nimetatud ülesandeid kohtu õigusemõistmisega seotud tegevuste suhtes. (3) Andmekaitsespetsialist võib täita muid ülesandeid ja kohustusi. Vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja kohustused ei põhjusta andmekaitsespetsialistil huvide konflikti. § 45. Andmekaitsespetsialisti ametiseisund (1) Vastutav töötleja tagab andmekaitsespetsialisti nõuetekohase ja õigeaegse kaasamise kõikidesse isikuandmete kaitse küsimustesse. (2) Vastutav töötleja toetab andmekaitsespetsialisti käesoleva seaduse §-s 44 osutatud ülesannete täitmisel, andes talle kõnealuste ülesannete täitmiseks ja eksperditeadmiste taseme hoidmiseks vajalikud vahendid ning juurdepääsu isikuandmetele ja nende töötlemise toimingutele. (3) Andmekaitsespetsialisti ametiseisundile kohaldatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 38 lõigetes 3, 4, 5 ja 6 sätestatut. 6. jagu Isikuandmete töötlemise turvameetmed ja isikuandmetega seotud rikkumisest teavitamine § 46. Isikuandmete töötlemise turvameetmed Vastutav ja volitatud töötleja on kohustatud võtma ja rakendama organisatsioonilisi ja tehnilisi turvameetmeid isikuandmete kaitseks, et: 1) keelata volitamata isikute juurdepääs isikuandmete töötlemiseks kasutatavatele andmetöötlusseadmetele; 2) ära hoida andmekandjate omavoliline lugemine, kopeerimine, muutmine ja kõrvaldamine; 3) ära hoida isikuandmete omavoliline sisestamine ja säilitatavate isikuandmetega tutvumine, nende muutmine või kustutamine; 4) ära hoida andmetöötlussüsteemi kasutamine andmesidevahendite abil volitamata isikute poolt; 5) tagada juurdepääs automatiseeritud andmetöötlussüsteemi kasutamise luba omavale kasutajale üksnes nendele isikuandmetele, mida hõlmab tema juurdepääsuluba; 6) tagada võimalus tõendada ja kindlaks määrata, millistele asutustele on isikuandmeid andmesidevahendite kaudu edastatud või kättesaadavaks tehtud ja millistele asutustele võib neid edastada või kättesaadavaks teha; 7) tagada võimalus tõendada ja kindlaks teha, milliseid isikuandmeid on automatiseeritud andmetöötlussüsteemi sisestatud ning millal ja kes need on sisestanud; 8) ära hoida isikuandmete loata lugemine, kopeerimine, muutmine või kustutamine isikuandmete edastamise või andmekandjate vedamise ajal; 9) tagada võimalus paigaldatud andmetöötlussüsteeme katkestuse korral taastada; 10) tagada andmetöötlussüsteemi toimimine ja selle ilmnevatest toimimisvigadest teavitamine; 18 11) ära hoida isikuandmete moonutamine süsteemirikete tagajärjel. § 47. Andmekaitse Inspektsiooni teavitamine isikuandmetega seotud rikkumisest (1) Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele, teatab vastutav töötleja rikkumisest Andmekaitse Inspektsioonile viivitamata, võimaluse korral 72 tunni jooksul pärast sellest teada saamist. (2) Volitatud töötleja teavitab vastutavat töötlejat viivitamata pärast isikuandmetega seotud rikkumisest teada saamist. (3) Käesoleva paragrahvi lõikes 1 nimetatud teates tuleb esitada järgmine teave: 1) rikkumise sisu, sealhulgas isikuandmetega seotud rikkumise laad, võimaluse korral nimetada asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning asjaomaste isikuandmete liigid ja ligikaudne arv; 2) andmekaitseametniku nimi ja kontaktandmed; 3) isikuandmetega seotud rikkumise võimalike tagajärgede kirjeldus; 4) vastutava töötleja võetud või kavandatud meetmed isikuandmetega seotud rikkumiste lahendamiseks, sealhulgas meetmed rikkumise võimalike tagajärgede kahjuliku mõju leevendamiseks. (4) Kui Andmekaitse Inspektsiooni teavitatakse isikuandmetega seotud rikkumisest hiljem kui 72 tunni jooksul, esitatakse selle kohta põhjendus. (5) Kui isikuandmetega seotud rikkumine puudutab isikuandmeid, mis on edastatud teise liikmesriigi vastutava töötleja poolt või teise liikmesriigi vastutavale töötlejale, edastatakse käesoleva paragrahvi lõikes 3 osutatud teave põhjendamatu viivituseta kõnealuse liikmesriigi vastutavale töötlejale. (6) Vastutav töötleja dokumenteerib kõik käesoleva paragrahvi lõikes 1 nimetatud isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju ja võetud parandusmeetmed. § 48. Andmesubjekti teavitamine isikuandmetega seotud rikkumisest (1) Kui rikkumine kujutab endast tõenäoliselt suurt ohtu füüsilise isiku õigustele ja vabadustele, teavitab vastutav töötleja viivitamata andmesubjekti isikuandmetega seotud rikkumisest. (2) Käesoleva paragrahvi lõikes 1 nimetatud teavitamisel kirjeldatakse selges ja lihtsas keeles isikuandmetega seotud rikkumise laadi ning esitatakse vähemalt käesoleva seaduse § 47 lõike 3 punktides 2, 3 ja 4 nimetatud teave. 19 (3) Käesoleva paragrahvi lõikes 1 nimetatud teavitamine ei ole nõutav, kui on täidetud vähemalt üks järgmistest tingimustest: 1) vastutav töötleja on rakendanud asjakohaseid tehnoloogilisi ja korralduslikke kaitsemeetmeid ning neid on kohaldatud isikuandmetega seotud rikkumisest mõjutatud isikuandmetele; 2) vastutav töötleja on võtnud hilisemad meetmed, mis välistavad käesoleva paragrahvi lõikes 1 nimetatud suure ohu realiseerumise andmesubjekti õigustele ja vabadustele; 3) andmesubjekti individuaalne teavitamine tooks kaasa ebaproportsionaalsed kulud ja rikkumisest on üldsust teavitatud. (4) Kui vastutav töötleja ei ole isikuandmetega seotud rikkumisest andmesubjekti veel teavitanud, võib Andmekaitse Inspektsioon pärast rikkumise raskuse hindamist otsustada, kas andmesubjekti teavitamine isikuandmetega seotud rikkumisest on nõutav või esineb mõni käesoleva paragrahvi lõikes 3 nimetatud juhtudest. (5) Käesoleva paragrahvi lõikes 1 nimetatud rikkumisest võib andmesubjekti teavitada hiljem, piiratud ulatuses või jätta ta teavitamata, kui see võib: 1) takistada või kahjustada süüteo tõkestamist, avastamist, menetlemist või karistuste täideviimist; 2) kahjustada teise isiku õigusi ja vabadusi; 3) kahjustada riiklikku julgeolekut. 7. jagu Isikuandmete edastamine kolmandale riigile ja rahvusvahelisele organisatsioonile § 49. Isikuandmete kolmandale riigile ja rahvusvahelisele organisatsioonile edastamise üldtingimused (1) Isikuandmeid on lubatud edastada kolmandale riigile või rahvusvahelisele organisatsioonile üksnes juhul, kui on täidetud kõik järgmised tingimused: 1) edastamine on vajalik süütegude tõkestamiseks, avastamiseks, menetlemiseks või karistuste täideviimiseks; 2) isikuandmeid edastatakse vastutavale töötlejale kolmandas riigis või rahvusvahelises organisatsioonis, kes on pädev süütegusid tõkestama, avastama, menetlema või karistusi täide viima; 3) Euroopa Liidu liikmesriik on andnud edastamiseks eelnevalt loa, kui isikuandmeid edastatakse või tehakse kättesaadavaks kõnealusest teisest liikmesriigist; 4) Euroopa Komisjon on vastu võtnud Euroopa Parlamendi ja nõukogu direktiivi (EL) nr 2016/680 artikli 36 kohaselt otsuse kaitse piisavuse kohta või sellise otsuse puudumisel on võetud käesoleva seaduse §-s 50 nimetatud piisavad kaitsemeetmed või nende puudumisel kohaldatakse käesoleva seaduse §-s 51 nimetatud erandit; 5) isikuandmete edastamisel tagatakse, et andmeid edastav vastutav töötleja on isikuandmete edasiseks edastamiseks muule kolmandale riigile või rahvusvahelisele organisatsioonile andnud eelneva nõusoleku. 20 (2) Kui käesoleva paragrahvi lõike 1 punktis 3 nimetatud luba isikuandmete edastamiseks ei ole võimalik õigel ajal saada ning isikuandmete edastamine on vajalik riigi või kolmanda riigi avalikku korda ähvardava vahetu ja tõsise ohu vältimiseks või riigi olulise huvi kaitseks, siis võib isikuandmeid edastada ilma käesoleva paragrahvi lõike 1 punktis 3 nimetatud loata. Käesolevas lõikes sätestatud andmevahetusest teavitatakse viivitamata isikuandmeid edastanud liikmesriigi pädevat asutust. (3) Käesoleva paragrahvi lõike 1 punktis 5 nimetatud nõusoleku andmisel võtab vastutav või volitatud töötleja muu hulgas arvesse süüteo raskust, isikuandmete algse edastamise eesmärki ja isikuandmete kaitse taset selles kolmandas riigis või rahvusvahelises organisatsioonis, kuhu isikuandmed edasi saadetakse. (4) Kui Euroopa Komisjon on vastu võtnud Euroopa Parlamendi ja nõukogu direktiivi (EL) nr 2016/680 artikli 36 lõikes 5 nimetatud otsuse, võib isikuandmeid edastada kolmandale riigile või rahvusvahelisele organisatsioonile käesoleva seaduse §-de 50 ja 51 alusel. § 50. Isikuandmete edastamine asjakohaste kaitsemeetmete kohaldamisel Käesoleva seaduse § 49 lõike 1 punktis 4 nimetatud Euroopa Komisjoni kaitse piisavuse kohta otsuse puudumisel võib isikuandmeid edastada kolmandale riigile või rahvusvahelisele organisatsioonile järgmistel juhtudel: 1) isikuandmete kaitseks võetavad asjakohased kaitsemeetmed on sätestatud õiguslikult siduvas aktis; 2) vastutav töötleja on hinnanud kõiki isikuandmete edastamisega seotud asjaolusid ning leidnud, et on võetud kõik isikuandmete kaitse seisukohalt asjakohased kaitsemeetmed. § 51. Isikuandmete edastamine eriolukordades (1) Käesoleva seaduse § 49 lõike 1 punktis 4 nimetatud Euroopa Komisjoni kaitse piisavuse otsuse või käesoleva seaduse §-s 50 nimetatud asjakohaste kaitsemeetmete puudumisel on isikuandmete edastamine kolmandale riigile või rahvusvahelisele organisatsioonile lubatud, kui edastamine on vajalik: 1) andmesubjekti või teise isiku õiguste ja vabaduste kaitsmiseks; 2) andmesubjekti õiguspäraste huvide kaitsmiseks; 3) avalikku korda ähvardava vahetu ja tõsise ohu ennetamiseks; 4) konkreetse süüteo tõkestamiseks, avastamiseks, menetlemiseks või karistuse täideviimiseks või 5) konkreetse süüteo tõkestamise, avastamise, menetlemise või karistuse täideviimise eesmärgiga seotud konkreetse õigusnõude koostamiseks, esitamiseks või kaitsmiseks. (2) Kui andmesubjekti õigused on kaalukamad, kui on käesoleva paragrahvi lõike 1 punktides 4 ja 5 sätestatud huvi, ei ole isikuandmete edastamine lubatud. § 52. Isikuandmete edastamine kolmandas riigis asuvale vastuvõtjale Isikuandmeid võib edastada vahetult kolmandas riigis asuvale vastuvõtjale, kui on täidetud kõik järgmised tingimused: 21 1) edastamine on rangelt vajalik isikuandmeid edastava õiguskaitseasutuse ülesande täitmiseks süütegude tõkestamise, avastamise, menetlemise või karistuste täideviimise eesmärgil; 2) avalik huvi on kaalukam kui andmesubjekti õigused ja vabadused; 3) isikuandmete edastamine kolmanda riigi asutusele, kes on pädev süütegusid tõkestama, avastama, menetlema või karistusi täide viima, ei ole tõhus või asjakohane; 4) kolmanda riigi asutust, kes on pädev süütegusid tõkestama, avastama, menetlema või karistusi täide viima, teavitatakse viivitamata, välja arvatud juhul, kui see ei ole tõhus või asjakohane; 5) vastuvõtjat teavitatakse isikuandmete töötlemise konkreetsest eesmärgist ja juhendatakse isikuandmeid töötlema ainult nimetatud eesmärgil. § 53. Andmekaitse Inspektsiooni teavitamine ja isikuandmete edastamise dokumenteerimine (1) Vastutav või volitatud töötleja annab ülevaate Andmekaitse Inspektsioonile käesoleva seaduse § 50 punkti 2 ja § 52 alusel toimunud isikuandmete edastamisest vähemalt üks kord aastas. (2) Kui isikuandmed edastatakse käesoleva seaduse § 50 punkti 2, § 51 lõike 1 või § 52 alusel, dokumenteerib vastutav või volitatud töötleja sellise edastamise, sealhulgas edastamise kuupäeva ja kellaaja, vastuvõtva pädeva asutuse andmed, edastamise selgituse ja edastatud isikuandmed. (3) Andmekaitse Inspektsiooni taotlusel teeb vastutav või volitatud töötleja käesoleva paragrahvi lõikes 2 nimetatud dokumendid temale kättesaadavaks. 4. peatükk Riiklik ja haldusjärelevalve 1. jagu Sõltumatu järelevalveasutus § 54. Sõltumatu järelevalveasutuse moodustamine (1) Sõltumatu järelevalveasutus Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 51 lõike 1 tähenduses on Andmekaitse Inspektsioon. (2) Andmekaitse Inspektsioon on oma ülesannete täitmisel sõltumatu ja tegutseb, lähtudes käesolevast seadusest, Euroopa Parlamendi ja nõukogu määrusest (EL) nr 2016/679, muudest seadustest ja nende alusel kehtestatud õigusaktidest. § 55. Andmekaitse Inspektsiooni juhi ametisse nimetamiseks nõutav kvalifikatsioon 22 Andmekaitse Inspektsiooni juhina võib töötada juhtimiskogemusega kõrgharidusega isik, kellel on teadmised isikuandmete kaitse õiguslikust regulatsioonist ning info- ja kommunikatsioonitehnoloogiast, sealhulgas infosüsteemidest. § 56. Andmekaitse Inspektsiooni juhi ametisse nimetamine ja ametist vabastamine (1) Andmekaitse Inspektsiooni juhi nimetab valdkonna eest vastutava ministri ettepanekul viieks aastaks ametisse Vabariigi Valitsus, olles eelnevalt ära kuulanud Riigikogu põhiseaduskomisjoni seisukoha. (2) Andmekaitse Inspektsiooni juhi võib ametisse tagasi nimetada kuni kaheks ametiajaks. (3) Enne Andmekaitse Inspektsiooni juhi ametist vabastamist kuulatakse eelnevalt ära Riigikogu põhiseaduskomisjoni seisukoht. § 57. Andmekaitse Inspektsiooni pädevus andmekaitsespetsialisti kvalifitseerimisel (1) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 57 sätestatud ülesannetele võib Andmekaitse Inspektsioon korraldada andmekaitsespetsialisti teadmiste ja kutseoskuste hindamise eksameid. (2) Andmekaitse Inspektsioon võib nõuda andmekaitsespetsialisti eksami korraldamise ja läbiviimise eest mõistlikku tasu, mis katab eksami korraldamiseks ja läbiviimiseks tehtud mõistlikud kulutused. (3) Andmekaitseametniku eksam on vabatahtlik, et tõendada kvalifikatsiooni olemasolu. Eksami läbimine ei ole andmekaitseametnikuna töötamise eelduseks või sellise teenuse pakkumiseks. § 58. Andmekaitse Inspektsiooni pädevus sertifitseerimisasutuse akrediteerimisel Pädev asutus Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 43 lõike 1 tähenduses, kes on pädev akrediteerima sertifitseerimisasutusi, millel on andmekaitse vallas asjakohased eksperditeadmised, on Andmekaitse Inspektsioon. 2. jagu Riikliku ja haldusjärelevalve teostamine § 59. Andmekaitse Inspektsiooni pädevus riikliku ja haldusjärelevalve teostamisel (1) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides, Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 sätestatud nõuete ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle teostab riiklikku ja haldusjärelevalvet Andmekaitse Inspektsioon. 23 (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: 1) edendada vastutavate töötlejate ja volitatud töötlejate teadlikkust käesolevast seadusest tulenevatest kohustustest; 2) anda andmesubjekti taotluse korral teavet tema käesolevast seadusest tulenevate õiguste teostamise kohta ja teha asjakohasel juhul sel eesmärgil koostööd teiste liikmesriikide järelevalveasutustega; 3) kontrollida isikuandmete töötlemise seaduslikkust ning teavitada andmesubjekti mõistliku aja jooksul käesoleva seaduse § 31 lõikes 2 nimetatud otsusest; 4) teha koostööd teiste järelevalveasutustega ja osutada vastastikust abi, et tagada käesolevas seaduses sätestatud nõuete täitmine; 5) käesoleva seaduse § 31 lõikes 3 sätestatud juhul anda andmesubjekti soovil talle täiendav selgitus seoses kaebuse edastamisega. § 60. Riikliku järelevalve erimeetmed Andmekaitse Inspektsioon võib käesolevas seaduses sätestatud riikliku järelevalve teostamiseks kohaldada korrakaitseseaduse §-des 30, 31, 32, 44, 49, 50, 51, 52 ja 53 sätestatud riikliku järelevalve erimeetmeid korrakaitseseaduses sätestatud alusel ja korras. § 61. Riikliku järelevalve erisused Andmekaitse Inspektsioon võib riikliku järelevalve teostamiseks rakendada Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 58 sätestatud meetmeid. § 62. Haldusjärelevalve erisused (1) Andmekaitse Inspektsioon võib haldusjärelevalve teostamisel kooskõlas Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 83 lõikega 7 ning vastavalt Vabariigi Valitsuse seaduse §-des 751 ja 752 sätestatule antud ettekirjutuse täitmata jätmisel pöörduda ettekirjutuse saaja kõrgemalseisva asutuse, isiku või kogu poole teenistusliku järelevalve korraldamiseks või ametniku suhtes distsiplinaarmenetluse algatamiseks. (2) Teenistusliku järelevalve teostaja või distsiplinaarmenetluse algatamise õigust omav isik on kohustatud taotluse läbi vaatama selle saamisest alates ühe kuu jooksul ja esitama oma põhjendatud arvamuse Andmekaitse Inspektsioonile. Teenistusliku järelevalve või distsiplinaarmenetluse algatamise korral on järelevalve teostajal või distsiplinaarmenetluse algatamise õigust omaval isikul kohustus teavitada Andmekaitse Inspektsiooni viivitamata selle tulemustest. § 63. Sunniraha määr Andmekaitse Inspektsiooni ettekirjutuse täitmata jätmise korral on asendustäitmise ja sunniraha seaduses sätestatud korras rakendatava sunniraha kohaldamise igakordne ülemmäär 30 000 eurot. § 64. Kaebuse läbivaatamise tähtaeg 24 (1) Andmekaitse Inspektsioon lahendab kaebuse 30 päeva jooksul kaebuse Andmekaitse Inspektsioonile esitamisest arvates. (2) Kaebuse lahendamiseks vajalike asjaolude täiendavaks selgitamiseks võib Andmekaitse Inspektsioon kaebuse läbivaatamise tähtaega pikendada kuni 60 päeva võrra. Tähtaja pikendamisest tuleb kaebuse esitajale kirjalikult teatada. 5. peatükk Vastutus § 65. Vastutava töötleja või volitatud töötleja kohustuse rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 8, 11, 25–39, 42 ja 43 sätestatud vastutava töötleja või volitatud töötleja kohustuse rikkumise eest – karistatakse rahatrahviga kuni 10 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti juriidilise isiku käibest. § 66. Sertifitseerimise korra rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 42 ja 43 sätestatud sertifitseerimise korra rikkumise eest – karistatakse rahatrahviga kuni 10 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti juriidilise isiku käibest. § 67. Toimimisjuhendi järgimise üle järelevalve teostamise korra rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 41 lõikes 4 sätestatud toimimisjuhendi järgimise üle järelevalve teostamise korra rikkumise eest – karistatakse rahatrahviga kuni 10 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 10 000 000 eurot või kuni 2 protsenti juriidilise isiku käibest. § 68. Isikuandmete töötlemise põhimõtete rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 5 sätestatud isikuandmete töötlemise põhimõtete rikkumise eest, sealhulgas Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 5, 6, 7 ja 9 sätestatud andmesubjekti nõusoleku andmise korra rikkumise eest – karistatakse rahatrahviga kuni 20 000 000 eurot. 25 (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 69. Andmesubjekti õiguste rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 12–22 sätestatud andmesubjekti õiguse rikkumise eest – karistatakse rahatrahviga kuni 20 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 70. Isikuandmete edastamise korra rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 44–49 sätestatud isikuandmete edastamise korra rikkumise eest – karistatakse rahatrahviga kuni 20 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 71. Isikuandmete töötlemise korra rikkumine eriolukordades (1) Käesoleva seaduse 2. peatüki 3. jaos sätestatud isikuandmete töötlemise korra rikkumise eest – karistatakse rahatrahviga kuni 20 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 72. Andmekaitse Inspektsiooni korralduse täitmata jätmine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 58 lõikes 2 sätestatud korralduse täitmata jätmise eest – karistatakse rahatrahviga kuni 20 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 73. Andmekaitse Inspektsiooni juurdepääsu võimaldamise rikkumine (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artikli 58 lõikes 1 sätestatud uurimisvolituse alusel antud korralduse täitmata jätmise eest, kui sellega ei võimaldata Andmekaitse Inspektsioonile juurdepääsu isikuandmetele, muule teabele või ruumidele, – karistatakse rahatrahviga kuni 20 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – 26 karistatakse rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti juriidilise isiku käibest. § 74. Menetlus Käesolevas peatükis sätestatud väärteo kohtuväline menetleja on Andmekaitse Inspektsioon. 6. peatükk Rakendussäte § 74. Seaduse jõustumine Käesolev seadus jõustub 2018. aasta 25. mail. 1 Euroopa Parlamendi ja nõukogu direktiiv 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 04.05.2016, lk 89–131). Eiki Nestor Riigikogu esimees Tallinn, 2017. a Algatab Vabariigi Valitsus 27  06.11.2017 Isikuandmete kaitse seaduse eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte 25. maist 2018 hakkab isikuandmete kaitse õigust reguleerima otsekohalduv Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta1 (üldmäärus), mis tingib ka vajaduse praegu kehtiv riigisisene regulatsioon üle vaadata. Seni on isikuandmete kaitse õiguse küsimusi reguleerinud üldseadusena isikuandmete kaitse seadus (IKS), millega on üle võetud direktiiv 95/46/EÜ, mis aga tunnistatakse 25. maist 2018 kehtetuks. Kuigi üldmääruse puhul on tegemist ELi otsekohalduva õigusaktiga, on teatud küsimustes jäetud liikmesriikidele kaalutlusõigus riigisiseselt täpsustada, kehtestada, säilitada üldmääruses sätestatud isikuandmete töötlemisega seotud küsimusi. Isikuandmete kaitse õiguses on alates 25. maist 2018 keskne roll üldmäärusel. Siseriiklik õigusakt, uus IKS, loob üldised raamid isikuandmete töötlemise õiguslike aluste osas avaliku võimu kandja poolt, üldised reeglid isikuandmete töötlemise olukordade osas, mille osas on meil üldmäärusest tulenev diskretsioon. Samuti võetakse uue IKS-ga üle Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK2 (õiguskaitseasutuste direktiiv). 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud justiitsministeeriumi õiguspoliitika osakonna avaliku õiguse talituse nõunik Merike Kaev ([email protected], 620 8262), justiitsministeeriumi avaliku õiguse talituse nõunik Sandra Mikli ([email protected], 620 8245), justiitsministeeriumi kriminaalpoliitika osakonna karistusõiguse ja menetluse talituse nõunik Liis Piilberg ([email protected], +372 58 513 027), justiitsministeeriumi kriminaalpoliitika osakonna karistusõiguse ja menetluse talituse nõunik justiitsküsimustes EV alalises esinduses ELi juures ([email protected], +32 2227 3916), justiitsministeeriumi 1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta: http://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A32016R0679. 2 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, 27. aprill 2016, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK: http://eur-lex.europa.eu/legal- content/ET/TXT/?uri=celex:32016L0680. 1 õiguspoliitika osakonna avaliku õiguse talituse nõunik Katariina Kärsten ([email protected], 620 8177, käesoleval ajal õiguskorralduse talituse nõunik), avaliku õiguse talituse juhataja Illimar Pärnamägi ([email protected], 620 8175). Mõjude osa on koostanud justiitsministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse nõunik Pilleriin Lindsalu ([email protected], 620 8221). Eelnõu keeletoimetaja on justiitsministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Taima Kiisverk ([email protected], 620 8181). 1.3. Märkused 9. mail 2017 saadeti ministeeriumidele kooskõlastamiseks ning huvirühmadele arvamuse avaldamiseks „Isikuandmete kaitse uue õigusliku raamistiku“ kontseptsioon. Kontseptsiooni kohta esitatud seisukohti on võetud arvesse ka uue isikuandmete kaitse seaduse eelnõu koostamisel. Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälte enamus, kuna põhiseaduse § 73 kohaselt võetakse Riigikogu aktid vastu poolthäälteenamusega. Eelnõu on seotud õiguskaitseasutuste direktiivi ülevõtmise ning üldmääruses sätestatud küsimuste täpsustamise ja täiendamisega ulatuses, milles liikmeriikidele on see õigus antud. 2. Seaduse eesmärk Füüsiliste isikute kaitse isikuandmete töötlemisel on põhiõigus. Euroopa Liidu põhiõiguste harta3 (harta) artikli 8 lõikes 1 ja Euroopa Liidu toimimise lepingu4 (ELi toimimise leping) artikli 16 lõikes 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. Kiire tehnoloogiline areng ja üleilmastumine on tekitanud isikuandmete kaitsel uusi väljakutseid. Isikuandmete kogumise ja jagamise ulatus on märkimisväärselt suurenenud. Tehnoloogia võimaldab nii eraõiguslikul juriidilisel isikul kui ka avaliku võimu kandjal kasutada isikuandmeid oma tegevuses enneolematus ulatuses. Euroopa Komisjon on väljendanud seisukohta, et andmekaitsereegleid on vaja põhjalikult reformida, et tugevdada õigust eraelu puutumatusele internetis ja elavdada Euroopa digitaalmajandust. Euroopa Parlamendi ja nõukogu direktiiv 95/46/EÜ5, millega on üle võetud ka praegu kehtiv IKS, ei ole ära hoidnud Euroopa Liidus (EL) andmekaitse rakendamise killustumist ega õiguskindlusetust, mille tõttu tegi komisjon ka 2012. aastal ettepaneku ajakohastada 1995. aasta andmekaitsedirektiivi põhimõtteid, et tagada edaspidigi õigus eraelu puutumatusele. Ettepanekud hõlmasid kahte õigusakti: 1. Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta. 3 Euroopa Liidu põhiõiguste harta: http://eur lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:083:0389:0403:et:PDF. 4 Euroopa Liidu toimimise leping: http://eur-lex.europa.eu/legal- content/ET/TXT/HTML/?uri=CELEX:C2010/083/01&from=EN 5 Euroopa Parlamendi ja nõukogu direktiiv 95/46/EÜ, 24. oktoober 1995, üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta: http://eur-lex.europa.eu/legal- content/et/ALL/?uri=CELEX:31995L0046. 2 2. Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK. Üldmäärust hakatakse kohaldama alates 25. maist 2018 ning see on tervikuna siduv ja vahetult kohaldatav kõikides ELi liikmesriikides. Üldmääruse eesmärgiks on ajakohastada kehtivad andmekaitsereeglid, võttes arvesse majanduse digiteerumist, uute tehnoloogiate kasutuselevõttu ning piiriüleste tehingute arvu kasvu. Praegu reguleerib isikuandmete kaitse õigust üldseadusena IKS, millega on üle võetud direktiiv 95/46/EÜ. Alates 25. maist 2018 tunnistatakse direktiiv 95/46/EÜ kehtetuks, mida asendab otsekohalduv üldmäärus. Kuna IKS-ga on üle võetud direktiiv, mis tunnistatakse kehtetuks, siis tuleb riigisiseselt tunnistada kehtetuks ka IKS. Alates 25. maist 2018 reguleerib isikuandmete kaitse õigust Eestis kui ELi liikmesriigis otsekohalduv üldmäärus ning uus IKS, milles täpsustatakse ja täiendatakse üldmääruse küsimusi ulatuses, milles liikmesriikidele on see õigus antud. Üldmääruse eesmärk on aidata kaasa vabadusel, turvalisusel ja õigusel põhineva majandusliidu saavutamisele, majanduslikule ja sotsiaalsele arengule, Euroopa Liidu majanduse tugevdamisele ja lähendamisele ning füüsiliste isikute heaolule. Euroopa Komisjon on üldmääruse ja direktiivi väljatöötamise käigus defineerinud kolm peamist probleemide valdkonda, mida soovitakse lahendada6: 1) liikmesriikide andmekaitse regulatsioonide killustatus, õiguslik ebaselgus ja ebaühtlane rakendamine põhjustavad takistusi ettevõtete tegutsemisele ja suurendavad avaliku sektori administratiivset koormust; 2) füüsilistel isikutel on keeruline oma isikuandmete töötlemist kontrollida; 3) puudused ja vastuolud isikuandmete kaitses seoses õiguskaitseasutuste koostöö käigus toimuva andmete töötlemisega. Eelnõus reguleeritavad küsimused on jaotatud viide peatükki: 1) üldsätted; 2) isikuandmete töötlemise õiguslikud alused; 3) isikuandmete töötlemine õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel ja karistuste täideviimisel; 4) järelevalve; 5) vastutus. Eesti avalik sektor on oma teenuste pakkumisel kodanikele üles ehitatud e-teenustele, mis taanduvad sellistele olulistele komponentidele nagu X-tee, e-identiteet ja digitaalallkiri. Riigi käes on infosüsteemide ja teenuste kaudu palju andmeid, mille tõttu paratamatult suurenevad 6 Komisjoni ettepanek andmekaitsereformi läbiviimiseks ja teised väljatöötamisega seotud dokumendid, sh komisjoni mõjuanalüüs, on kättesaadavad: http://ec.europa.eu/justice/data-protection/reform/index_en.htm (20.10.2017). 3 ka andmemahud ja andmete laialdane ristkasutus. Nendes tingimustes toimimine võib aga kaasa tuua ebaproportsionaalseid riske nii isikuandmete kui eraelu kaitsele. Selleks et tagada andmesubjektide maksimaalne kaitse eespool mainitut arvesse võttes ning ühtlasi toetada e- riigi võidukäiku, on oluline nende tegevuste seaduslikkus. Kui avaliku võimu kandjale on usaldatud niivõrd suures ulatuses isikuandmeid ja nende töötlemine, siis peab nende andmetega õiguspärane ümberkäimine olema selge ka andmete omanikele ehk andmesubjektidele. Üldmääruse art 6 annab liikmesriigile ka võimaluse kehtestada konkreetsemaid sätteid isikuandmete töötlemise seadustamiseks avaliku võimu kandja poolt. Lisaks on kõnealuse eelnõu eesmärk Eesti õigusesse üle võtta õiguskaitseasutuste direktiiv. Kuni õiguskaitseasutuste direktiivini ei olnud ELi õiguses kehtestatud andmekaitsereegleid, mis kohalduksid politsei ja teiste pädevate asutuste tegevusele väljaspool piiriülest koostööd. Selle valdkonna reguleerimine on seni olnud liikmesriikide pädevuses. Eestis on siiani kõnealust valdkonda reguleeritud IKS-ga menetlusseadustikes sätestatud eranditega. Õiguskaitsevaldkonna direktiivi eesmärk on kehtestada EL-s ühtsed andmekaitsereeglid ka õiguskaitsevaldkonnas ning erinevalt raamotsusest 2008/977/JSK on direktiivi kohaldamisala laiem, hõlmates kogu andmetöötlust pädevate asutuste poolt juhul, kui selline andmetöötlus leiab aset asutuste põhiülesannete täitmise raames. Tagamaks füüsiliste isikute isikuandmete järjekindel kõrgetasemeline kaitse ka õiguskaitsevaldkonnas, sätestatakse kõnealuse eelnõuga isikuandmete töötlemise õiguslikud alused. 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb viiest peatükist: 1. Üldsätted – määratletakse seaduse reguleerimis- ja kohaldamisala, sisustatakse avaliku võimu kandja mõiste. 2. Isikuandmete töötlemise õiguslikud alused – sätestatakse töötlemine avaliku võimu kandja poolt, eriliiki isikuandmete töötlemine, isikuandmete töötlemise erialused ja muud juhud isikuandmete töötlemisel. 3. Isikuandmete töötlemine õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel – sätestatakse peatüki kohaldamisala, mõisted (eriliiki isikuandmed, õiguskaitseasutus), isikuandmete töötlemise põhimõtted, andmesubjekti õigused, vastutava ja volitatud töötleja kohustused, andmekaitsespetsialisti määramise kohustus ja tema ülesanded, isikuandmete töötlemise turvameetmed ja isikuandmetega seotud rikkumisest teavitamine, isikuandmete edastamine kolmandatele riikidele ja rahvusvahelistele organisatsioonidele. 4. Järelevalve – sätestatakse Andmekaitse Inspektsiooni ülesanded, pädevus, järelevalve teostamise kord ja nõuded järelevalveasutuse juhile. 5. Vastutus – nähakse ette vastutus isikuandmete töötlemise nõuete rikkumise eest. Eelnõu struktuuri loogika: 1. Eelnõus kavandatu kohaselt ei reguleerita küsimusi, mis üldmäärusele tuginedes on otsekohalduva iseloomuga. Euroopa Liidu õiguse kohaselt on keelatud otsekohalduva õigusakti sisu ümber kirjutada riigi õigusesse. 2. Eelnõu oma struktuurilt liigub üldisemalt üksikule ehk kavandatu kohaselt kehtestatakse üldised alused avaliku võimu kandja poolt tehtavatele isikuandmete töötlemistoimingutele 4 ning liigutakse edasi eri iseloomuga töötlemistoimingute juurde, mille reeglid kehtivad nii avaliku võimu kandjale kui ka eraõigusliku isiku tehtavatele isikuandmete töötlemise toimingutele. 3. Kuna eelnõuga võetakse üle ka õiguskaitseasutuste direktiiv, siis eelnõus on ka peatükk, mis puudutab nimetatud direktiivi ülevõtmisega seotud sätteid ehk direktiivi peatükk. 4. Direktiivi peatükile järgnevad vastavalt järelevalve ja vastutuse peatükk. Eelnõus kavandatu kohaselt reguleeritakse küsimusi, milles üldmäärus on liikmesriigile selle õiguse andnud ehk milline on diskretsiooni ulatus – kehtiva regulatsiooni säilitamine või kehtestamine/sätestamine, täpsustamine või piiramine. Eelnõu loob üldised raamid isikuandmete töötlemisele, kuid eeldab isikuandmete töötlemisega seonduvate reeglite täpsemat kehtestamist valdkonnaspetsiifilistes õigusaktides. 3.1. Üldsätted § 1. Reguleerimisala Üldmääruse põhjenduspunkti 2 kohaselt on üldmääruse eesmärk aidata kaasa vabadusel, turvalisusel ja õigusel rajaneva ala ning majandusliidu saavutamisele, majanduslikule ja sotsiaalsele arengule, riikide majanduse tugevdamisele ja lähendamisele siseturul ning füüsiliste isikute heaolule. Eelnõukohase IKSi reguleerimisalasse jääb üldiselt füüsiliste isikute kaitse isikuandmete töötlemisel ulatuses, milles IKS täpsustab ja täiendab üldmääruses sätestatut, ning füüsiliste isikute kaitse isikuandmete töötlemisel õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel. Eelnõukohane IKS reguleerib isikuandmete töötlemise õiguslikke aluseid, mille raames reguleeritakse isikuandmete eriliikide töötlemist, isikuandmete töötlemise eriolukordi, muid juhte isikuandmete töötlemisel ning isikuandmete töötlemist avaliku võimu kandja poolt. Samuti isikuandmete töötlemise õiguslikke aluseid õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel ja karistuste täideviimisel, isikuandmete töötlemise nõuete täitmise üle riikliku ja haldusjärelevalve teostamise korda, vastutust isikuandmete töötlemise nõuete rikkumise eest. § 2. Seaduse kohaldamisala Uut seadust kohaldatakse avaliku võimu kandja poolt teostatavale isikuandmete töötlemise toimingutele, vastutavale ja volitatud töötlejale isikuandmete töötlemisele Eestis, kohtumenetlusele menetlusseadustikes sätestatud erisustega ning üldmääruse kohaldamisalasse jäävate isikute suhtes koos uuest seadusest tulenevate erisustega. Üldmääruse kohaldamisalast jääb välja: 1) kaitse seoses selliste andmete töötlemisega, mis puudutavad juriidilisi isikuid, eelkõige juriidiliste isikutena asutatud ettevõtjaid, sealhulgas juriidilise isiku nime ja vormi ning kontaktandmeid; 2) riigi julgeolekut puudutav tegevus ning isikuandmete töötlemine liikmesriikide poolt Euroopa liidu ühise välis- ja julgeolekupoliitikaga seonduva tegevuse läbiviimisel; 3) kui isikuandmeid töötleb füüsiline isik eranditult isiklikel või kodustel eesmärkidel, seega väljaspool ametialast või äritegevust; isiklik ja kodune tegevus võiks hõlmata kirjavahetust ja 5 aadresside loetelu või tegevust suhtlusvõrgustikes ja internetis, mis toimub isikliku või koduse tegevuse raames. § 4. Avaliku võimu kandja Üldmäärus seab mitmed õigused/kohustused/põhimõtted sõltuvusse sellest, kas täidetakse avalik-õiguslikku või eraõiguslikku ülesannet. Nii näiteks sätestab üldmääruse art 6 lg 1 p e, et isikuandmete töötlemine on seaduslik, kui see on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks (ingl „task carried out in the public interest or in the exercise of official authority“, sks „die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt“). Üldmääruse põhjenduspunkt 45 ütleb, et see, kas avaliku huvi või avaliku võimu teostamisega seotud ülesannet täitev vastutav töötleja peaks olema avaliku sektori asutus või muu avalik-õiguslik või eraõiguslik füüsiline või juriidiline isik, näiteks kutseliit, tuleks samuti kindlaks määrata liidu õiguses või kui see on avalikust huvist lähtuvalt põhjendatud, sealhulgas tervishoiuga seotud eesmärkidel, nagu rahvatervis ja sotsiaalkaitse ning tervishoiuteenuste juhtimine, siis liikmesriigi õiguses. Üldmäärus ei defineeri, mis on „avalikes huvides olev ülesanne“ või „avaliku võimu teostamine“. Ka kehtivas Eesti õiguses kasutatakse selliseid termineid nagu „haldusorgan“ (nt HMS) ja „avaliku võimu kandja“ (nt RVastS). Samuti seostavad Eesti õigusaktid kas kohaldamisala või teatud õiguste ja kohustuste tekkimise selliste formuleeringutega nagu „avalikke ülesandeid avalik-õiguslikul alusel“ (RVastS), „avaliku halduse ülesanne/haldusülesanne“ ja „täidesaatva riigivõimu volitus“ (HKTS), „seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites“ (AvTS), „elutähtis teenus“ (HOS, MsÜS), „üldhuviteenus“ ja „riigi või kohaliku omavalitsuse valdava enamiku elanike kasutatavat teenus“ (MsÜS), „avaliku võimu teostamine“ (ATS) jne. Paraku ei ole ükski neist üheselt kasutatav IKS eelnõus. Seda põhjusel, et üldteadaolevalt on EL terminitel autonoomne tähendus ja sisu. Teisisõnu, liikmesriik ei saa vastava volituseta siduvalt otsustada EL õigusaktis sätestatud termini sisu ning kui EL õigusakt seda ise ei defineeri, on lõppastmes see õigus Euroopa Kohtul. Eelnõu § 4 defineerib avaliku võimu kandja, püüdes ühendada üldmääruse ja Eesti senist õigusterminoloogiat. Oluline on, et mõiste kohaldamisala piirdub üksnes selle seadusega. Avaliku võimu kandja uue seaduse tähenduses on isik, kes teostab avalikku võimu või täidab avalik-õiguslikul alusel avalikes huvides olevaid ülesandeid. Avalikku võimu kannab näiteks riik, kohaliku omavalitsuse üksus, muu avalik-õiguslik juriidiline isik või füüsiline isik või eraõiguslik juriidiline isik, kes teostab avalikku võimu või täidab avalikke ülesandeid avalik- õiguslikul alusel väljaspool alluvussuhet. Eeltoodust tuleneb, et avaliku võimu kandja mõiste on materiaalne – lähtutakse täidetavatest ülesannetest. Nii on avaliku võimu kandjaks ka eraisik, kes seaduse või seaduse alusel, s.o halduslepingu või haldusakti (vt HKTS § 3). Kehtiv IKS § 10 lg 2 piirab haldusorgani töötlemisõigust vastava haldusorgani kohustuse täitmisega, s.o selle haldusorgani pädevusega. Eelnõu § 4 viitab üldisemalt avaliku võimu kandjale, kelleks on riik või kohaliku omavalitsuse üksus tervikuna. Eelnõu paragrahv 4 lg 2 6 teeb aga vajaliku täpsustuse, mis seob ikkagi eelnõu §-s 5 sätestatud isikuandmete töötlemise seaduslikkuse konkreetse asutuse, kogu või isiku pädevusega. Avaliku võimu kandjaks on ka eelnõu 3. peatükis nimetatud õiguskaitseasutus, kes on pädev süütegusid tõkestama, avastama, menetlema või karistusi täide viima. Õiguskaitseasutuste puhul lähtutakse samuti kõnesolevas eelnõus avaliku võimu kandja puhul sätestatust niivõrd, kui eelnõu 3. peatükis ei ole sätestatud teisiti. Muud terminid (nt nagu volitatud töötleja, vastutav töötleja, isikuandmed, isikuandmete töötlemine jne), mida kasutatakse eelnõus, on defineeritud üldmääruse artiklis 4, mis kohaldub otse, ning eelnõukohases uues seaduses endas neid uuesti ei defineerita. 3.2. Isikuandmete töötlemise õiguslikud alused 3.2.1. Isikuandmete töötlemine avaliku võimu kandja poolt § 5. Isikuandmete töötlemise seaduslikkus Eelnõu selle paragrahviga luuakse üldine seaduslik alus isikuandmete töötlemisele avaliku võimu kandjale, mis tugineb üldmääruse art 6 lõike 1 punktile e koosmõjus üldmääruse art 6 lõikega 3. Üldmääruse art 6 lõike 1 punkt e ei loo isikuandmete töötlemiseks iseseisvat seaduslikku alust, see tuleneb üldmääruse art 6 lõikest 3. Liidu või liikmesriigi seadusandjal tuleb selleks kehtestada eraldiseisev seaduslik alus. Nimetatud ülesannet täidab Eesti seadusandja sarnaselt kehtiva IKS § 10 lõikega 2 üldisel kujul kõnesolevat sätet kehtestades. Kindlasti tuleb isikuandmete töötlemise üldvolituse sisustamisel silmas pidada esiteks, et eelnõu § 5 ei anna piiramatut luba isikuandmete töötlemiseks. Avalikku ülesannet täitev asutus, kogu või isik saab isikuandmeid töödelda üksnes niivõrd, kuivõrd see on vajalik tema pädevuses oleva ülesande täitmiseks, järgides seejuures kõiki üldmääruse §-s 5 sätestatud isikuandmete töötlemise põhimõtteid. Kehtiv IKS § 10 lg 2 piirab haldusorgani töötlemisõigust vastava haldusorgani kohustuse täitmisega, s.o selle haldusorgani pädevusega. Eelnõu § 5 viitab üldisemalt avaliku võimu kandjale, kelleks on eelnõu §-st 4 tulenevalt riik või kohaliku omavalitsuse üksus tervikuna. See ei tähenda siiski, et näiteks riigiasutus võiks isikuandmeid töödelda piiramatult riigi pädevusse jäävates küsimustes, sõltumata asutuse enda pädevusest. Nagu öeldud, saab avalikku ülesannet täitev asutus, kogu või isik isikuandmeid töödelda vaid tal lasuvate kohustuste täitmiseks. Teiseks, tegemist ei ole normiga, mis asendaks isikuandmete töötlemise seaduslikkust avaliku võimu kandja poolt valdkonnaspetsiifilistes eriseadustes. Nimetatud paragrahv, koosmõjus nii üldmääruse põhjenduspunktiga 10 kui ka üldmääruse art 6 lõikega 3, sealhulgas isikuandmete töötlemise põhimõtetega üldiselt, eeldavad, et õiguspäraseks isikuandmete töötlemiseks spetsiifilistes valdkondades, tuleb õiguslik alus sisustada täpsemalt valdkonnaspetsiifilistes eriseadustes. Sarnaselt praegu kehtiva IKS paragrahvi 10 lõikega 2 tuleb endiselt vaadata seda, milline on konkreetse asutuse pädevus, millised isikuandmeid on vaja töödelda jne, et asutus saaks oma 7 pädevust realiseerida. Ei saa olla nii, et nt Terviseamet kogub kuriteo ennetuseks isikuandmeid, kuna see on riigi (kuigi PPA) pädevuses. Avaliku võimu teostamist on sisutanud näiteks avaliku teenistuse seadus mitmes paragrahvis, sealhulgas paragrahvides 5, 6, 7 jne. Andmekaitse Inspektsioon on oma juhendisse „Eraõiguslike avaliku teabe valdajate juhend“7 , muu hulgas koondanud Riigikohtu praktika avaliku ülesande sisustamisel. Juhendis on välja toodud järgnevad Riigikohtu seisukohad: - Avaliku ülesande definitsiooni seaduses ei ole, kuid kohtupraktikast ja õiguskirjandusest tuleneb, avalikud ülesanded on vahetult seadusega või seaduse alusel riigile, omavalitsusele või muule avalik-õiguslikule juriidilisele isikule pandud ülesanded, või ülesanded, mis on tõlgendamise teel vastavast õigusnormist tuletatud (3-3-4-1-10). - Avalik huvi mingi teenuse olemasolu vastu iseenesest ei muuda veel seda teenust avalikuks ülesandeks. Kui eraisik osutab teenust vabatahtlikult (nt eralasteaed), nt turul valitseva nõudluse rahuldamiseks, ei täida ta avalikku ülesannet. Avalikuks ülesandeks muutub teenus seega siis, kui seda osutatakse avalik-õigusliku isiku seadusest tuleneva kohustuse täitmiseks (3-3-1-19-14, p 12). - Avalike ülesannete puhul reguleerib avalik õigus tihti soorituse tegemise kohustust, kuid sooritus ise võib alluda eraõiguslikule regulatsioonile. Nii on see näiteks vanglapoe pidamisel – kohustus tagada kinnipeetavale sisseostude tegemise võimalus on avalik ülesanne, samas kui vanglapoes kaupade ostmine toimub eraõigusliku müügilepingu alusel (ning seejuures ei ole vahet, kas kauplust peab vangla ise või on ta selle ülesande delegeerinud eraõiguslikule isikule (3-3-1-72-11). § 6. Isikuandmete töötlemine muul eesmärgil Tuginedes üldmääruse art 6 lõikele 4 ning hinnates seda koosmõjus üldmääruse põhjenduspunktiga 50, annab üldmäärus liikmesriigile õiguse kehtestada reeglid muul eesmärgil töötlemise kohta, kui töötlemine on vajalik avaliku ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks või kui on vaja tagada üldmääruse artiklis 23 sätestatud eesmärkide täitmine. Nimetatud küsimus ei ole reguleeritud praeguses IKS-s. Vastavalt eelnõu § 6 lõike 1 punktile 2 on isikuandmete töötlemine avaliku võimu kandja poolt muul eesmärgil võrreldes sellega, mille jaoks isikuandmeid on algselt kogutud, lubatud, kui seda tehakse avaliku ülesande täitmiseks ning andmete edasine töötlemine on vajalik süütegude tõkestamine, avastamise, menetlemise või karistuste täideviimise eesmärgil. Arvestades õiguskaitsevaldkonna eripära, on üsna tavapärane, et andmete kasutuse eesmärk muutub ning tekib vajadus kasutada varem kogutud andmeid muul eesmärgil. Süütegude tõkestamiseks, avastamiseks, menetlemiseks ja karistuste täideviimiseks võib olla vaja sel konkreetsel eesmärgil kogutud andmeid kasutada ka muuks otstarbeks ning teises menetluses, et saada teadmisi kuritegevuse kohta ning eri avastatud süütegusid omavahel seostada. Sageli kasutatakse kriminaalmenetluses kas varem kriminaalmenetluslikul eesmärgil teise 7 Eraõiguslike avaliku teabe valdajate juhend. Andmekaitse Inspektsioon. Täiendatud 2017. Veebis kättesaadav: http://www.aki.ee/sites/www.aki.ee/files/elfinder/article_files/avts_juhend_eraoiguslikele.pdf. 8 kriminaalmenetluse raames kogutud andmeid uurimiseks või kasutatakse mõnel teisel eesmärgil kogutud andmeid, mis võivad sisaldada vajalikku tõendusteavet (nt isiku pangakonto väljavõte, sideandmed jt). Muul eesmärgil töötlemine hõlmab ka olukordi, kus õiguskaitseasutusel on vaja konkreetses menetluses kogutud isikuandmeid töödelda teises menetluses, kui on see, milleks andmeid kogutakse. Selline töötlemine on lubatud, kui õiguskaitseasutus on volitatud töötlema selliseid isikuandmeid teises menetluses ning isikuandmete töötlemine on selles menetluses vajalik ja proportsionaalne. Eelnõu paragrahvi 6 lõike 1 kohaselt võib muul eesmärgil võrreldes sellega, mille jaoks isikuandmed algselt on kogutud, avaliku võimu kandja töödelda neid üksnes seaduse alusel, kui andmete edasine töötlemine on vajalik: 1) avalikku korda ähvardava ohu väljaselgitamiseks ja tõrjumiseks või korrarikkumise kõrvaldamiseks; 2) süütegude tõkestamiseks, avastamiseks, menetlemiseks või karistuste täideviimiseks või 3) andmesubjekti ilmselgelt esinevate huvide kaitseks ning puudub alus arvata, et andmesubjekt keelduks muul eesmärgil töötlemiseks nõusoleku andmisest. Üldmääruse põhjenduspunkti 50 kohaselt isikuandmete töötlemine muul (edasisel) eesmärgil kui see, milleks andmed on algselt kogutud, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed on algselt kogutud. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmeid koguda. Edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil tuleks käsitada eesmärkidele vastavate seaduslike isikuandmete töötlemise toimingutena. Näiteks koostatud statistikat võib edasi kasutada muul eesmärgil, sealhulgas teadusuuringute eesmärgil. Statistiline eesmärk eeldab, et töötlemise tulemus ei ole isikuandmed, vaid koondandmed, ning et seda tulemust või isikuandmeid ei kasutata ühtegi konkreetset füüsilist isikut puudutavate meetmete või otsuste toetamiseks. Selleks et teha kindlaks, kas edasise töötlemise eesmärk vastab eesmärgile, mille jaoks isikuandmed on algselt kogutud, peaks vastutav töötleja võtma pärast kõikide esialgse töötlemise seaduslikkuse seisukohast vajalike nõuete täitmist muu hulgas arvesse: 1) mis tahes seoseid sellise eesmärgi ja kavandatava edasise töötlemise eesmärgi vahel; 2) isikuandmete kogumise konteksti, eelkõige andmesubjekti ja vastutava töötleja vahelisel suhtel põhinevaid andmesubjekti mõistlikke ootusi andmete edasise kasutamise suhtes; 3) isikuandmete laadi; 4) kavandatava edasise töötlemise tagajärgi andmesubjekti jaoks; 5) ning asjakohaste kaitsemeetmete olemasolu nii esialgsetes kui ka kavandatavates edasistes isikuandmete töötlemise toimingutes. Tagamaks andmesubjekti põhiõiguste ja -vabaduste kaitse muul eesmärgil töötlemise käigus, teavitab vastutav töötleja andmesubjekti muust eesmärgist ja tema õigustest, sealhulgas õigusest esitada vastuväiteid. 9 Kui eelnõu § 5 kohaldub igasugusele töötlemisele, siis eelnõu § 6 on erinorm eelnõu § 5 suhtes. § 7. Eriliiki isikuandmete töötlemine Üldmääruse artikkel 9 reguleerib eriliiki isikuandmete töötlemist. Sama artikli lõige 1 defineerib, mida võib käsitleda eriliiki isikuandmetena. Eriliiki isikuandmete definitsioon kattub sellega, mille võib leida kehtiva IKSi paragrahvi 4 lõikest 2, kus eriliiki isikuandmeid nimetatakse delikaatseteks isikuandmeteks. Üldmääruse art 9 lõike 1 kohaselt, mis on otsekohalduva iseloomuga ning ei vaja riigi õigusaktis eraldi defineerimist, on eri liiki isikuandmeteks andmed, millest ilmneb või ilmnevad: 1) rassiline või etniline päritolu; 2) poliitilised vaated; 3) usulised või filosoofilised veendumused või ametiühingusse kuulumine; 4) geneetilised andmed; 5) biomeetrilised andmed, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. Üldmääruse art 9 puhul on tegemist artikliga, mille puhul on liikmesriikidele jäetud õigus valida, kas säilitada olemasolev regulatsioon eriliiki isikuandmete (praeguse sõnastuse kohaselt „delikaatsed isikuandmed) töötlemise osas või kehtestada täiendavad tingimused. Kuna praegu kehtiv IKS tunnistatakse tervikuna kehtetuks, siis tuleb uuesti kehtestada ka reeglid eriliiki isikuandmete töötlemiseks ehk praegu kehtiva termini järgi delikaatsete isikuandmete töötlemiseks. Üldmääruse art 9 lõige 1 keelab eriliiki isikuandmete töötlemise ning sama artikli lõige 2 toob välja asjaolud, millest ühe esinemisel keeldu töötlemisele ei kohaldata. Eelnõu paragrahvi 7 lõikes 1 on välja toodud, millal on vastutaval ja volitatud töötlejal, kes võib olla nii avaliku võimu kandja kui ka eraõiguslik isik, lubatud eriliiki isikuandmeid töödelda. Tingimused on samad, nagu näeb ette üldmäärus: eriliiki isikuandmete töötlemine on lubatud, kui esineb vähemalt üks eelnõu paragrahvi 7 lõike 1 punktides 1–5 sätestatud vajadus. Lisaks üldmääruses sätestatule on eelnõus selle küsimuse reguleerimiseks lisatud ka kaitsemeetmed, mida tuleb kohaldada andmesubjekti põhiõiguste ja huvide kaitseks, kui soovitakse töödelda eriliiki isikuandmeid, mis omakorda on reguleeritud eelnõu paragrahvis 8. Eelnõu paragrahvi 7 lõikes 3 on sätestatud, millisel juhul võib avaliku võimu kandja töödelda eriliiki isikuandmeid lisaks lõikes 1 sätestatule. Kuna avaliku võimu kandja on ka eelnõu 3. peatükis nimetatud õiguskaitseasutus, kes on pädev süütegusid tõkestama, avastama, menetlema või karistusi täide viima, siis lähtutakse kõnesoleva paragrahvi lõikes 3 sätestatust, millega võetakse üle direktiivi 2016/680 artikkel 10. Eelnõu paragrahvi 7 lõikes 3 on sätestatud, et lisaks lõikes 1 nimetatud eesmärkidele võib avaliku võimu kandja töödelda eriliiki isikuandmeid, kui see on vajalik olulise avaliku huviga seotud põhjustel või kui töötlemine on vajalik, et ennetada ohtu avalikule korrale või riiklikule julgeolekule. Samas eeldab eelnõu paragrahvi 7 lõige 4, et kui avaliku võimu kandja 10 taandab isikuandmete eriliikide töötlemise õiguspärasuse lõikes 3 sätestatule, siis selline töötlemine on õiguspärane niivõrd kui ja senikaua, kuni lõikes 3 sätestatud huvid on kaalukamad kui andmesubjekti huvid ehk avaliku võimu kandja peab eelnevalt kaaluma, kas oluline avalik huvi, mille pärast on vaja eriliiki isikuandmeid töödelda, kaalub üles andmesubjekti huvid. Eelnõu paragrahv 7 kirjeldab üldiseid reegleid eriliiki isikuandmete töötlemisele, kuid selles sisalduva kohaldamise eelduseks on taas täpsemate sätete kehtestamine valdkonnaspetsiifilistes seadustes. Avaliku huvi definitsiooni ei ole võimalik leida ühestki õigusaktist ehk tegemist on määratlemata õigusmõistega. Kadriann Ikkonen on Juridica artiklis8 viidanud, et avaliku huvi sihiks on teatud avalik (üldine, ühiskondlik) hüve. Lihtsam kui öelda, mis asi on ühiskondlik hüve, on tuua näiteid asjade kohta, mis kuuluvad ühiskondliku hüve mõiste alla. Näiteks on need riigi sisemine ja välimine rahu, majanduse õitseng, keskkonna puutumatus ja kõrge kultuuritase. Samuti tõdemus, et avaliku huvi ammendava definitsiooni leidmine on problemaatiline, eelkõige avaliku huvi mõiste suure abstraktsuse tõttu, samuti selle dünaamilisus ehk kontekstirelevantsus. Ikkonen on viidanud oma artiklis ka Saksa õigusteadlaste käsitlusele avalikust huvist, mille kohaselt täitevvõim ei ole oma tegudes täiesti vaba, vaid on seotud oma eesmärgiga, milleks on demokraatlikus riigis avaliku hüve või avaliku heaolu hoidmine ja edendamine. Sellest tuleneb avaliku huvi ja seaduse tihe omavaheline seotus. Avalik huvi annab ühest küljest õigustuse, teisest küljest seab piirid. Avalik huvi on suunatud avaliku hüve loomisele või säilitamisele, seega on avalik hüve avaliku huvi esemeks ja eesmärgiks. Avalik huvi on juriidilise argumendina enamasti kasutusel isiku subjektiivsete õiguste piiramisel. Avalikud huvid seavad üksikisikutele teatud kohustusi, mille tõttu keegi ei saa teostada oma õigusi ja vabadusi piiramatult. Jagamatus on see faktor, mis annab üldisele huvile erilise kvaliteedi ja eristab seda nõnda erahuvist. Avaliku võimu kandja tehtud toimingut või antud õigusakti ei saa siiski automaatselt pidada avalikust huvist kantuks. Kõik seadused (sh nende üksikud sätted) ei ole eo ipso avaliku huvi väljenduseks. Avaliku huvi nii lai tõlgendus muudab mõiste enda tarbetuks – avaliku huvi mõiste kaotaks õiguses oma tähenduse, sest see samastuks seadusega. Seega tuleb mõtestada avalik huvi lahti konkreetse juhtumi kontekstis, lähtudes just selles asjas tähtsust omavatest asjaoludest.9 Avalikku huvi saab argumendina kasutada siis, kui kehtib mingi norm, mis seda lubab. Näiteks kui mingi piirangu tegemine on lubatud avalikes huvides, siis selles kontekstis omandab avalik huvi argumendina määrava tähtsuse. Seega on avaliku huvi põhjendamise küsimus ühtlasi küsimus normi põhjendamisest. Niisiis saab lisaks mõiste abstraktsuse astmele tõmmata avaliku huvi kui mõiste argumendina lubatavuse korral väga selge paralleeli 8 K. Ikkonen. Avalik huvi kui määratlemata õigusmõiste. Juridica, 2005. Veebis kättesaadav: https://www.juridica.ee/juridica_et.php?document=et/articles/2005/3/88525.PRN.prv.php. 9 K. Ikkonen. 11 tsiviilõiguses kasutusel olevate hea usu ja mõistlikkuse mõistetega: neid saab juriidiliste argumendina kasutada vaid siis, kui õigusnorm seda lubab.10 Üldmääruse põhjenduspunkti 35 kohaselt peaksid tervisealaste isikuandmete hulka kuuluma kõik andmesubjekti terviseseisundit käsitlevad andmed, mis annavad teavet andmesubjekti endise, praeguse või tulevase füüsilise või vaimse tervise kohta. See hõlmab teavet füüsilise isiku kohta, mis on kogutud füüsilisele isikule tervishoiuteenuste registreerimise või osutamise käigus. Näiteks number, tähis või eritunnus, mis on füüsilisele isikule määratud tema kordumatuks tuvastamiseks tervishoiuga seotud eesmärkidel. Oluline ei ole siinkohal see, kas andmete allikaks on näiteks arst või muu tervishoiutöötaja, haigla, meditsiiniseade. Üldmääruse põhjenduspunkti 51 kohaselt ei peaks näiteks fotode töötlemist süstemaatiliselt käsitlema isikuandmete eriliikide töötlemisena, kuna need on hõlmatud üksnes biomeetriliste andmete määratlusega, kui neid töödeldakse konkreetsete tehniliste vahenditega, mis võimaldavad füüsilist isikut kordumatult tuvastada või autentida. § 8. Eriliiki isikuandmete töötlemisele kohaldatavad meetmed Üldmääruse põhjenduspunkti 51 kohaselt väärivad erilist kaitset isikuandmed, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada. Teisisõnu, siin räägitakse ennekõike eriliiki isikuandmetest, mille töötlemise üldised õiguslikud alused on sätestatud eelnõu paragrahvis 7. Üldmääruse art 32 sätestab isikuandmete töötlemise turvalisuse, mille lõikes 1 nimetatakse muu hulgas kaitsemeetmetena pseudonüümimist ja krüptimist. Üldmääruse põhjenduspunkti 28 kohaselt isikuandmete pseudonüümimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi ehk kohustusi, mis tulenevad nii üldmäärusest kui ka uuest seadusest. Pseudonüümimise kasutamine ei ole mõeldud välistama mis tahes muid andmekaitsemeetmeid. Üldmääruse põhjenduspunkti 108 kohaselt peaksid kaitsemeetmed olema eelkõige seotud vastavusega üldistele isikuandmete töötlemise põhimõtetele ning lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtetega. Lõimitud andmekaitse ja vaikimisi andmekaitse põhimõtted on sätestatud üldmääruse artiklis 25. Eelnõu paragrahvi 8 lõige 1 sätestab nimekirja võimalikest meetmetest, mida vastutav ja volitatud töötleja peavad kasutama, kui töötlevad isikuandmete eriliike. Tegemist ei ole kinnise nimekirjaga, mille tõttu on võimalik kasutada ka muid asjakohaseid meetmeid, mis aitavad tagada andmesubjekti põhiõigusi ja -vabadusi. Meetmete asjakohasuse hindamisel tuleks ennekõike arvesse võtta isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele. See paragrahv on vastavuses ka direktiivi 2016/680 artikliga 10, mille kohaselt tuleb isikuandmete eriliikide töötlemisele kohaldada asjakohaseid kaitsemeetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks. 10 Ibidem. 12 3.2.2. Isikuandmete töötlemise erialused § 9. Isikuandmete töötlemine ajakirjanduslikul eesmärgil Nii rahvusvahelises õiguses kui ka Eesti põhiseaduse §-s 45 tunnustatakse ajakirjandusvabadust. Riigil lasub üldiselt kohustus mitte sekkuda ajakirjandusvabadusse, samas on talle pandud ülesanne tagada toimiv õigusraamistik põhivabaduse toimimiseks ning adekvaatsed õiguskaitsevahendid. Ajakirjanduse kaudu või mõnel muul viisil vaba informatsiooni edastamine on väljendusvabaduse üks alaliike, mis seisneb möödapääsmatus demokraatia idee levitamises. Ajakirjandusvabadus on piiratud teiste õigustega: eraelu kaitse, solvamise ning laimamise keeluga, valeandmete edastamise ning rassiviha õhutamise keeluga, samuti alaealiste ohustamise jms keeluga. Ajakirjandusvabaduse olemuslikud tunnused tähendavad täiendavate garantiide loomist ajakirjanikele nende erialases tegevuses ning nende allikate saladuse kaitset. Ajakirjaniku võimalus mitte avaldada oma informatsiooni allikaid tagab talle informatsiooni allikate paljususe ja soodustab tegelikku infovabadust. Ajakirjanikel oleks kahtlemata väga raske teha põhjalikke uurimuslugusid, kui nad peaksid hiljem osalema tunnistajatena kohtulikus uurimises. Ajakirjaniku missioon on teha avalikuks asjaolud ja sündmused, informeerides nii avalikkust talle teada olevatest olulistest juhtumitest. Ajakirjandusvabaduse ning eraelu puutumatuse ja isikuandmete kaitse õiguse tasakaalustamiseks on isikuandmete kaitse üldmääruse artiklis 85 antud liikmesriikidele võimalus näha ette vabastusi ja erandeid üldmääruses sätestatud kohustustest. Üldmääruse põhjenduspunktis 153 on kehtestatud, et liikmesriigid peaksid sellised vabastused ja erandid vastu võtma üldpõhimõtete, andmesubjekti õiguste, vastutava töötleja ja volitatud töötleja, isikuandmete kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastamise, sõltumatute järelevalveasutuste, koostöö ja ühtsuse ning andmete töötlemise eriolukordade kohta. Kui sellised vabastused või erandid erinevad liikmesriigiti, tuleks kohaldada selle liikmesriigi õigust, mida kohaldatakse vastutava töötleja suhtes. Selleks et võtta arvesse sõnavabadusõiguse tähtsust igas demokraatlikus ühiskonnas, tuleb laialt tõlgendada selle vabadusega seonduvaid kontseptsioone, näiteks ajakirjandust. Seetõttu on ka kõnesolevas eelnõus jäetud isikuandmete ajakirjanduslik töötlemine täpsemalt määratlemata. Üheks oluliseks suunanäitajaks ajakirjandusvabaduse ja eraelu puutumatuse huvide kaalumise osas on EIK otsus asjas Hannover vs. Saksamaa11 (tuntud ka kui printsess Caroline’i kaasus). Monaco printsess Caroline (kes ei täida Monaco vürstiriigi ametlikke funktsioone) oli alates 1990ndatest aastatest üle kümne aasta üritanud takistada oma eraelu kajastavate fotode avaldamist Euroopa riikide kõmulehtedes. Selles kohtuasjas olid vaidlusaluseks Saksa tabloidväljaandes avaldatud pildid, mis kujutasid teda nt hobuse seljas, tegemas sisseoste üksi ja ihukaitsjaga, istumas restoranis koos Prantsuse näitlejaga, suusapuhkusel Austrias, lahkumas üksi ja koos prints Ernst August von Hannoveriga oma Prantsuse residentsist ning 11 Euroopa Inimõiguste Kohus. Von Hannover vs. Saksamaa. Veebis kättesaadav: http://194.242.234.211/documents/10160/2055471/EHCR+ +CASE+OF+VON+HANNOVER+v.+GERMANY+No.+2.pdf. 13 komistamas Monte Carlo rannaklubis takistusele. Kohus leidis, et viidatud piltide avaldamine meediaväljaandes rikub printsess Caroline’i õigusi. Oluliseks faktoriks eraelu puutumatuse ja sõnavabaduse tasakaalustamisel tuleb kohtu hinnangul pidada asjaolu, kas ajakirjanduses avaldatavad faktid (sh ka fotod) aitavad kaasa diskussiooni tekkimisele demokraatlikus ühiskonnas. Sel juhul oli fotode avaldamise eesmärk vaid teatud lugejaskonna uudishimu rahuldamine ning meedia majandushuvide kindlustamine. Kohus on lahendis võtnud lähtealuseks funktsiooni, mida isik täidab, mitte selle, kas tegemist on isiku avaliku või eraeluga. Seega nt foto, millel printsess avab ostukeskust, ei riiva tema eraelu, ent foto, millel kujutatakse printsessi samas ostukeskuses tegemas järgmisel päeval sisseoste, riivab. Kui avaliku elu tegelane on avalikus kohas, kuid ei täida avaliku elu tegelase ülesandeid, on tegemist tema eraeluga. Euroopa Inimõiguste Kohus (EIK) on mitmel korral väljendanud ka seisukohta12, et poliitikud peavad taluma märksa ulatuslikumat kriitikat kui lihtsalt avaliku elu tegelased. Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (EIÕK) art 10 lõiget 2 ei kohaldata EIK hinnangul mitte ainult „informatsioonile“ ja „ideedele“, mida käsitatakse üldiselt kui kahjutuid või neutraalseid, vaid ka solvavatele, šokeerivatele või häirivatele teadetele. Sellised on pluralismi, tolerantsuse ja eelarvamustevaba suhtumise nõuded, ilma milleta ei eksisteeriks ka demokraatlikku ühiskonda13. Konventsiooni art 10 lõige 2 hõlmab endas ka väheses ulatuses piiranguid poliitilistele kõnedele või debatile avaliku huvi küsimustes. Veelgi enam, aktsepteeritava kriitika piirid on laiemad poliitiku kui muu eraisiku puhul. Võttes arvesse ajakirjanduse silmapaistvat rolli, peab press siiski eristama informatsiooni ja ideesid poliitilistes küsimustes ja teistes avaliku huvi asjades. Ajakirjandusvabadus võimaldab üldsusele parima meetme arvamuse kujundamiseks oma poliitiliste liidrite ideede ja hoiakute kohta. Ajakirjandusvabadus hõlmab ka võimaluse tugineda teatud astmeni liialdustele või koguni provokatsioonidele. Poliitikud peavad üles näitama suuremat tolerantsust kriitika suhtes. Ehkki väljendusvabadus allub eranditele, peavad nad neid erandeid tõlgendama kitsendavalt ning vajadus piirangute järele peab olema veenvalt tuvastatud. Nii on EIK ka leidnud, et trükised, mis sisaldasid kahe poliitiku kriitikat poleemilises ja sarkastilises keeles, kahtlemata riivasid ja šokeerisid neid, ent olles valinud oma elukutse, asetasid poliitikud end ise tugeva kriitika ja huvi objektiks ning see on koormis, mida nad peavad taluma demokraatlikus ühiskonnas14. Poliitik paljastab vältimatult ja teadlikult iga oma sõna ja teo tihedale kontrollile ajakirjanduse ja avalikkuse poolt ning peab seetõttu väljendama suuremat taluvusastet. EIK on omistanud kõige kõrgemat tähtsust väljendusvabadusele poliitilise debati kontekstis ning leidnud, et väga tugevad argumendid on nõutavad, et õigustamaks poliitiliste kõnede piiranguid. Eeltoodust tulenevalt võib öelda, et tuleb eristada väljendusvabadust poliitiku ja avaliku elu tegelase puhul. Viimase suhtes on piirid mõneti rangemad, eriti kui see puudutab tema eraelu, iseäranis nii kaua, kui ta ise ei ole seda afišeerinud ega soovi seda. Seega kokkuvõttes on 12 Dabrowski vs. Poola, EIK 19.12.2006. 13 Hanyside vs. Ühendkuningriik, EIK 07.12.1976. 14 Ukrainian Media Group vs. Ukraina, EIK 29.03.2005. 14 kolm isikute kategooriat, kelle puhul on ajakirjandusel õigus sekkuda eraelu puutumatusse eri ulatuse ja kaaluga: 1) tavainimesed; 2) avaliku elu tegelased; 3) poliitikud. Seoses avaliku elu tegelaste fotode avaldamisega on Ühendkuningriigi kohus teinud otsuseid, millest on võimalik esile tuua mõningaid elemente, mida tuleks arvestada. Eraelu puutumatuse riive intensiivsuse hindamisel on kohus kaalunud kõiki ümbritsevaid asjaolusid, nt mida foto kujutab, kes on subjekt, kus ja kuidas see foto tehtud on. Eraelu puutumatuse proovikiviks on kahtlemata asjaolu, kas isikul oli mõistlik ootus eraelu puutumatusele. Nii nt leidis Ühendkuningriigi kohus asjas Campbell vs. MGN Ltd, et ajalehes ilmunud uudist ilmestanud foto avaldamine ei olnud põhjendatud. Tegemist oli juhtumiga, kus tuntud modelli, kes oli avalikkuses eitanud igasugust narkootiliste ainete tarbimist, fotografeeriti, kui ta väljus anonüümsete narkomaanide regulaarselt kohtumiselt ning uudis ja seda illustreerinud foto avaldati laia levikuga ajalehes. Anonüümsed alkohoolikud ja anonüümsed narkomaanid ei kasuta sellist nimetust lihtsalt efekti pärast. Nad pakuvad neile, kes otsivad abi, anonüümsust nende endi kaitseks. Kui avalikkusele tekitatakse mulje, et inimeste sellised meditsiiniandmed ja fotod, mis kujutavad neid osalemas ravikohtumistel, võivad saada avalikuks, siis mõtlevad nad suure tõenäosusega hoolikalt järele, enne kui lähevad vajalikule ravile. Ja see oleks vastuolus nii avaliku huviga kui ka ühiskonna huvidega tervikuna. 15 EIK on leidnud, et teatud sündmustele pereelus tuleb anda eriliselt hoolikas kaitse. Lähedase surm ja sellele järgnev lein kohustavad mõnikord võimuorganeid võtma meetmeid, et austada puudutatud isikute eraelu ja perekonnaelu. Tegemist oli fotoga, mis kujutas tapetud prefekti surnukeha mõni hetk pärast mõrva ning mis avaldati kõigest 13 päeva pärast mõrva ja 10 päeva pärast matuseid. Seetõttu leidis kohus, et lein, mida ohvri perekond tundis, pidanuks ajakirjanikke panema ilmutama taktitunnet ja ettevaatlikkust, kuna surma asjaolud olid vägivaldsed ja traumaatilised ohvri perekonna jaoks.16 Teatud isikute puhul on EIK leidnud, et eraelu puutumatuse piirid ulatuvad kaugemale. EIK on omistanud kõige kõrgemat tähtsust väljendusvabadusele poliitilise debati kontekstis ning leidnud, et poliitiliste kõnede piirangute õigustamiseks on nõutavad väga tugevad argumendid. Konventsiooni art 10 lõige 2 hõlmab endas ka väheses ulatuses piiranguid poliitilistele kõnedele või debatile avaliku huvi küsimustes. Veelgi enam, EIK hinnangul on aktsepteeritava kriitika piirid poliitiku puhul laiemad võrreldes eraisikuga. Võttes arvesse ajakirjanduse silmapaistvamat rolli, peab press siiski eristama informatsiooni ja ideesid poliitilistes küsimustes ja teistes avaliku huvi asjades. Ajakirjandusvabadus võimaldab üldsusele parima meetme oma poliitiliste liidrite ideede ja hoiakute kohta arvamuse kujundamiseks, tagades ühtlasi ka võimaluse tugineda seejuures teatud astmeni liialdustele või koguni provokatsioonidele. 15 Lordide Koja 06.05.2004 otsus asjas Campbell vs. MGN Ltd. Kättesaadav aadressil: http://www.publications.parliament.uk/pa/ld200304/ldjudgmt/jd040506/campbe-1.htm. 16 Hachette Filipacchi Associes vs. Prantsusmaa, EIK 14.06.2007. 15 Ajakirjanduslikul eesmärgil isikuandmete töötlejad on kohustatud järgima isikuandmete kaitse üldmäärusest tulenevaid nõudeid. Selleks et paremini tasakaalustada ajakirjandusvabaduse teostamist ning õigust eraelu ja isikuandmete kaitsele, on kõnesolevas eelnõus mõningad erandid, mis peaksid hõlbustama ajakirjandusvabaduse teostamist. Esmalt on analoogselt varasema regulatsiooniga säilitatud õigus töödelda isikuandmeid andmesubjekti nõusolekuta ülekaaluka avaliku huvi korral. See tähendab, et ajakirjanduslikul eesmärgil isikuandmeid töötlev isik ei pea lähtuma tavapärastest isikuandmete töötlemise õiguslikest alustest, mis on sätestatud üldmääruse artiklis 6. Näiteks ei ole vaja küsida andmesubjekti nõusolekut. Samas on ajakirjanduslikul eesmärgil isikuandmeid töötlev isik kohustatud järgima isikuandmete kaitse põhimõtteid, sealhulgas, kas isikuandmeid töödeldakse minimaalselt vajalikul määral, et saavutada oma eesmärk. Oluline on ka andmete aja- ja asjakohasuse kontroll. Samuti on oluline tähele panna, et ajakirjanduslikul eesmärgil töötlemise korral tuleb iga töötlemistoimingu puhul eraldi hinnata, kas selleks on õigus kasutada erandeid. Avalikustamine on üks põhilisemaid isikuandmete töötlemise toiminguid, kuid analüüsida oleks vaja ka säilitamist, otsingumootoritele kättesaadavaks tegemist, edastamist kolmandatele isikutele ning arhiveerimist või kustutamist. Üldmääruse kohaldamisala on piiratud, kui andmesubjektile tuleb anda teavet tema kohta kogutud andmete kohta või kui see võimaldab andmesubjektil tutvuda teda käsitlevate andmetega (artiklid 14 ja 15). Art 14 välistamine võimaldab kaitsta ajakirjanduslikul eesmärgil isikuandmeid töötleva isiku allikaid ehk seda kolmandat isikut, kes on ajakirjanikule andmesubjekti andmed avaldanud. Artikkel 15 pakub samasuguse eesmärgiga sätte, millest välistuse tegemine võimaldab piirata andmesubjekti õigust tutvuda tema kohta käivate andmetega. Välistuste sätestamine IKS-s ei tähenda, et vaidluste korral ei oleks ajakirjanduslikul eesmärgil isikuandmeid töötleval isikul kohustust esitada näiteks tõendeid selle kohta, et avalikustatud väited on tõesed. Kui Andmekaitse Inspektsioon on teinud ajakirjandusvaidluses töötleja suhtes otsuse, millega andmesubjekt ei ole rahul, võib ta Andmekaitse Inspektsiooni otsuse vaidlustamiseks pöörduda töötleja suhtes kohtusse. Paberväljaannete kokku korjamise, hävitamise jne üle ei otsusta Andmekaitse Inspektsioon, vaid kohus. Kõnesoleva paragrahvi lõige 3 annab võimaluse kaaluda, kas ülejäänud andmesubjekti õigused on konkreetsetes olukordades rakendatavad või on nendest vaja teha erandeid. Näiteks õigus olla unustatud võib olla rakendatav, kui ülekaalukas avalik huvi jätkuva avalikustamise vastu on ära langenud. Kuna art 17 lõike 3 punkt a annab sõna- ja teabevabaduse teostamiseks teha erandeid juba määruse alusel, ei ole riigisisesesse õigusesse täiendavaid erandeid vaja kirjutada. § 10. Isikuandmete töötlemine kunstilise ja kirjandusliku eneseväljenduse tarbeks Üldmääruse artikkel 85 võimaldab liikmesriigil kehtestada muu hulgas normid, mis käsitlevad isikuandmete töötlemist kunstilise ja kirjandusliku eneseväljenduse tarbeks. Nimetatud eesmärgil isikuandmete töötlemine võimaldab liikmesriigil kehtestada vabastusi ja erandeid üldmääruse artikli lõikes 2 sätestatust. 16 Regulatsioon kunstilise ja kirjandusliku eneseväljenduse tarbeks on vajalik nt raamatute, filmide, aga ka kujutava kunsti teoste jaoks (nt kui kasutatakse isiku kujutist kujutava kunstiteose loomisel), kui need ei kvalifitseeru ajakirjanduseks. Samuti tuleks arvesse võtta elulooraamatute ja -filmide populaarsuse kasvu aasta-aastalt, mille raames käsitletakse ka kogu ühiskonna jaoks väga olulisi teemasid, nagu naiste- või lastevastane vägivald, pagulasküsimused jne. Nimetatud küsimuse reguleerimine uues seaduses ei ole oluline vaid seetõttu, et üldmäärus sellise õiguse liikmesriigile annab, vaid see vajadus on tingitud ka erinevatest kohtuasjadest, mille raames on vaidlustatud isikuandmete avalikustamise õiguspärasust nii kinokunstis kui ka kirjanduses. Samuti on pidanud Andmekaitse Inspektsioon selle küsimusega kokku puutuma oma nõustamispraktikas, kui on olnud vaja töödelda isikuandmeid kõnesolevas paragrahvis sätestatud eesmärkidel. Näiteks on Riigikohus oma lahendis nr 3‑ 2‑ 1‑ 153‑ 1617 käsitlenud küsimusi, mis puudutab isikuandmete avaldamise õiguspärasust elulooraamatus, samuti nõusoleku andmist ja selle tagasivõtmise õiguslikke tagajärgi. Kohtulahendis on analüüsitud ka ajakirjanduslikul eesmärgil töötlemise erisuse kohaldamist elulooraamatule. Samuti on Riigikohus oma lahendis nr 3-2-1-104-0918 käsitlenud isikuandmete avalikustamist filmis ja selle õiguspärasust. Praegu kehtivas IKS-s puudub konkreetne õiguslik alus isikuandmete töötlemiseks akadeemilise, kunstilise või kirjandusliku eneseväljenduse tarbeks. Tagamaks isikuandmete töötlemise õiguspärasust sel eesmärgil, toimitakse praktikas põhimõtteliselt kahte moodi: andmesubjekt annab selleks nõusoleku või sõlmitakse vastavasisuline tsiviilõiguslik leping. Kui aga analüüsida põgusalt nõusoleku kui õigusliku aluse olemust, siis nii kehtiva IKSi järgi kui ka üldmääruses sätestatu kohaselt võib nõusoleku igal ajal tagasi võtta, mis aga selgelt võib kaasa tuua majandusliku surve nii elulooraamatute kui ka -filmide tootjatele ja tegijatele. Õigus nõusolek igal ajal tagasi võtta võib kaasa tuua ebaproportsionaalseid pingutusi filmide ja elulooraamatute tegijatele, mis võib selgelt kahjustada ka sõna- ja teabevabaduse olemust tervikuna. Kõnesoleva paragrahviga sätestatakse õigus töödelda isikuandmeid ilma andmesubjekti nõusolekuta, kui see ei kahjusta ülemääraselt andmesubjekti õigusi. Selle paragrahvi olemus seisneb kahe põhiõiguse vahel tasakaalu leidmises isikuandmete kaitse kaudu – sõna- ja teabevabadus ning õigus eraelu kaitsele. Seega eeldab isikuandmete töötlemine ilma 17 Riigikohtu tsiviilkolleegiumi otsus nr 3‑ 2‑ 1‑ 153‑ 16, https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1- 153- 16&sortVaartus=LahendiKuulutamiseAeg&sortAsc=false&kuvadaVaartus=Sisu&pageSize=25&defaultPageSiz e=25. 18 Riigikohtu tsiviilkolleegiumi otsus nr 3-2-1-104-09 https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-104- 09&sortVaartus=LahendiKuulutamiseAeg&sortAsc=false&kuvadaVaartus=Sisu&pageSize=25&defaultPageSiz e=25. 17 andmesubjekti nõusolekuta kõnesolevas paragrahvis sätestatud eesmärgil ikkagi iga kord kaalumist võimalike ohtude osas, mis võivad tekkida andmesubjekti õigustele. Paberväljaannete ja kunstiteoste kokku korjamise, hävitamise jne üle ei otsusta Andmekaitse Inspektsioon, vaid kohus. § 11. Isikuandmete töötlemine teadusuuringu ja riikliku statistika vajadusteks Üldmääruse artikkel 89 võimaldab liikmesriikidel sätestada teadusuuringute ja statistilisel eesmärkidel töötlemisele erandeid andmesubjektidele sätestatud õigustest. Praegu kehtiva IKS paragrahv 16 reguleerib samuti isikuandmete töötlemist teadusuuringu või riikliku statistika vajadusteks. Eelnõuga plaanitakse säilitada kehtiv regulatsioon, kuid täiendades eranditega, mis tulenevad üldmääruse artiklist 85 ning kehtestades ka kaitsemeetmed, mis peavad olema tagatud vastavalt üldmääruse artiklile 85, kui isikuandmeid töödeldakse kõnesolevas paragrahvis sätestatud eesmärkidel. Üldmääruse põhjenduspunkti 159 kohaselt tuleks teadusuuringute eesmärgil toimuvat isikuandmete töötlemist tõlgendada nii laialt, et see hõlmab näiteks: 1) tehnoloogiaarendust ja tutvustamistegevust; 2) alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid uuringuid, lisaks tuleks arvesse võtta ELi toimimise lepingu artikli 179 lõikes 1 sätestatud liidu eesmärki luua Euroopa teadusruum; 3) rahvatervise valdkonnas avalikust huvist lähtuvad uuringud. Teadusuuringute eesmärgil isikuandmete töötlemise eripära arvessevõtmiseks tuleks kohaldada eritingimusi eelkõige seoses isikuandmete avaldamise või muul viisil avalikustamisega teadusuuringute eesmärgi kontekstis. Kui teadusuuringute tulemus eelkõige tervishoiu kontekstis loob aluse täiendavateks meetmeteks andmesubjekti huvides, tuleks nende meetmete suhtes kohaldada käesoleva määruse üldiseid eeskirju. Üldmääruse põhjenduspunkti 33 kohaselt ei ole isikuandmete kogumise ajal võimalik täielikult kindlaks määrata teadusuuringute eesmärgil toimuva andmetöötluse eesmärki. Seetõttu peaks andmesubjektidel olema võimalik anda oma nõusolek teatavates uuringuvaldkondades, kui järgitakse selle valdkonna tunnustatud eetikanorme. Andmesubjektidel peaks olema võimalik anda oma nõusolek üksnes teatavatele teadusuuringuvaldkondadele või teadusprojektide osadele kavandatud eesmärgiga lubatud ulatuses. Üldmääruse põhjenduspunkti 161 kohaselt tuleks kliinilisi uuringuid hõlmavates teadusuuringutes osalemiseks nõusoleku küsimiseks kohaldada Euroopa Parlamendi ja nõukogu määruse (EL) nr 536/2014 (15) asjakohaseid sätteid. Tegemist on määrusega, milles käsitletakse inimtervishoius kasutatavate ravimite kliinilisi uuringuid. Statistiline eesmärk tähendab kõiki isikuandmete kogumise ja töötlemise toiminguid, mis on vajalikud statistikauuringuteks või statistika koostamiseks. Koostatud statistikat võib edasi kasutada muul eesmärgil, ka teadusuuringute eesmärgil. Statistiline eesmärk eeldab, et töötlemise tulemus ei ole isikuandmed, vaid koondandmed, ning et seda tulemust või isikuandmeid ei kasutata ühtegi konkreetset füüsilist isikut puudutavate meetmete või otsuste toetamiseks. 18 Eelnõu paragrahvi 11 lõike 1 kohaselt võib andmesubjekti nõusolekuta teadusuuringu või riikliku statistika vajadusteks töödelda andmesubjekti kohta käivaid andmeid eelkõige pseudonüümitud või samaväärset andmekaitse taset võimaldaval kujul. Pseudonüümimise all tuleb mõista üldmääruse art 4 punktis 4 sätestatut. Seoses tehnoloogilise kiire arenguga, sealhulgas privaatsust toetavate tehnoloogiate arenguga19, on põhjendamatu piirata andmesubjekti nõusolekuta töötlemist pseudonüümimisega, eesmärk peab olema ennekõike see, et tagatud on andmesubjektide põhiõigused ja -vabadused. Kaitsemeetmetena kõnesoleva paragrahvi mõttes käsitletakse eelnõu paragrahvis 8 sätestatud meetmeid. § 12. Isikuandmete töötlemine avalikes huvides toimuva arhiveerimise eesmärgil Üldmääruse artikkel 89 võimaldab liikmesriikidel sätestada avalikes huvides toimuva arhiveerimise eesmärgil erandeid andmesubjektidele sätestatud õigustest. Tegemist on küsimusega, mida ei ole reguleeritud praegu kehtivas IKS-s. Isikuandmete töötlemisel avalikes huvides toimuva arhiveerimise eesmärgil võib piirata järgmisi andmesubjekti õigusi: 1) õigus tutvuda andmetega (piirata niivõrd, kuivõrd arhiivimaterjali ei ole inimese nime kaudu identifitseeritud või kui ei ole antud sellist teavet, mis lubaks arhiivimaterjali mõistliku pingutusega üles leida); 2) õigus andmete parandamisele; 3) õigus isikuandmete töötlemise piiramisele, kui: a) andmesubjekt vaidlustab isikuandmete õigsuse ajaks, mis võimaldab vastutaval töötlejal isikuandmete õigsust kontrollida; b) isikuandmete töötlemine on ebaseaduslik, kuid andmesubjekt ei taotle isikuandmete kustutamist, vaid kasutamise piiramist; d) andmesubjekt on esitanud isikuandmete töötlemise suhtes üldmääruse art 21 (õigus esitada vastuväiteid) lõike 1 kohaselt vastuväite ajaks, kui kontrollitakse, kas vastutava töötleja õiguspärased põhjused kaaluvad üles andmesubjekti põhjused (piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks avalikes huvides arhiveerimise eesmärgi saavutamise või takistab seda oluliselt); 4) andmete ülekandmise õigus (piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks avalikes huvides arhiveerimise eesmärgi saavutamise või takistab seda oluliselt); 5) õigus esitada vastuväiteid (piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks avalikes huvides arhiveerimise eesmärgi saavutamise või takistab seda oluliselt ning). 3.2.3. Muud juhud isikuandmete töötlemisel § 13. Lapse isikuandmete töötlemine infoühiskonna teenuste pakkumisel 19 2017 Privacy Tech Report. Veebis kättesaadav: https://iapp.org/resources/article/2017-privacy-tech-vendor- report/. 19 Eelnõu § 13 reguleerib küsimust, kui infoühiskonna teenuseid pakutakse lastele ning määrab vanuse, millal lapse antud nõusolek on õiguspärane. Tegemist on uue küsimusega, mida ei ole reguleeritud kehtivas IKS-s. Üldmääruse art 8 lõike 1 kohaselt võivad liikmesriigid sätestada madalama vanuse, tingimusel et madalam vanus ei ole alla 13 aasta. Üldmääruse art 8 lõike 3 kohaselt ei mõjuta üldmääruse art 8 lõige 1 liikmesriikide üldist lepinguõigust. Üldmääruse põhjenduspunkti 38 kohaselt väärivad laste isikuandmed erilist kaitset, kuna lapsed ei pruugi olla piisavalt teadlikud asjaomastest ohtudest, tagajärgedest ja kaitsemeetmetest ning oma õigustest seoses isikuandmete töötlemisega. Niisugune eriline kaitse peaks eelkõige rakenduma laste isikuandmete kasutamisel turunduse eesmärgil või isiku või kasutajaprofiili loomiseks ja laste isikuandmete kogumisel otse lastele pakutavate teenuste kasutamise puhul. Vanemliku vastutuse kandja nõusolekut ei peaks olema vaja seoses lapsele otse pakutavate ennetavate või nõustamisteenustega. Üldmääruse põhjenduspunkti 58 järgi peaks laste isikuandmete töötlemisel kogu teave olema selges ja lihtsas keeles, mis on lapsele kergesti arusaadav, samamoodi tuleb ka lapsega suhelda. Eelnõus kavandatu kohaselt on lapse isikuandmete töötlemine infoühiskonna teenuste pakkumisel seaduslik üksnes juhul, kui laps on vähemalt 14-aastane. 14 aasta piir on kehtestatud ka karistusõiguses ja konkreetsemalt süüvõime sisustamisel. Vastavalt karistusseadustiku paragrahvile 33 on isik süüvõimeline, kui ta on teo toimepanemise ajal süüdiv ja vähemalt neljateistaastane. Võttes arvesse kõnesoleva paragrahvi sisu, ei ole mingit põhjust, miks peaks paragrahvis 13 kehtestama teistsuguse vanuse alampiiri, kui see on kehtestatud karistusseadustiku paragrahvis 33. § 14. Isikuandmete töötlemine pärast andmesubjekti surma Eelnõu paragrahvis 14 reguleeritakse isikuandmete töötlemist pärast andmesubjekti surma. Tegemist on küsimusega, mis jääb üldmääruse kohaldamisalast välja, kuid selle põhjenduspunkt 27 näeb liikmesriikidele ette võimaluse seda küsimust oma riigi õiguses reguleerida. Isikuandmete töötlemine pärast andmesubjekti surma on ka reguleeritud kehtiva IKSi paragrahvis 13. Eelnõuga muudetakse kehtiva regulatsiooni sõnastust, sealhulgas täiendatakse nõusoleku tingimusi. Muu hulgas sätestatakse, et pärast andmesubjekti surma on tema isikuandmete töötlemine piiritletud füüsilisest isikust pärija nõusolekuga. Nimetatud küsimust on oluline reguleerida ka uues seaduses, kuna surnud isikute andmete avalikuks saamine võib kahjustada järgnevat põlvkonda. § 15. Isikuandmete töötlemine krediidivaldkonnas Eelnõu § 15 sätestab isikuandmete töötlemise üldreeglid krediidivaldkonnas. Nimetatud küsimus on reguleeritud ka praegu kehtivas IKS-s. 20 Reguleerimise vajadus on soovist tagada võimalus isikute finantsilise usaldusväärsuse ehk krediidivõimelisuse hindamiseks. Eestis tegutseb juba AS Krediidiinfo poolt hallatav maksehäireregister (vt www.krediidiinfo.ee). On olemas praktiline vajadus selleks, et finantsasutused ning äriettevõtted saaksid hinnata teise lepingupoole usaldusväärsust lepinguliste suhete täitmisel. Üks kriteerium isiku usaldusväärsuse hindamisel on see, kuidas isik on käitunud oma seniste lepinguliste kohustuste täitmisel. Oluline on, et töödelda võib vaid lepinguliste kohustuste rikkumist käsitlevaid andmeid - säte ei laiene sellistele isikuandmetele, mis ei ole lepinguliste kohustuste rikkumise seisukohalt olulised. Kuna lepingulise kohustuse rikkumine ei ole isikut püsivalt negatiivsest seisukohast iseloomustav fakt, siis ei tohi vaadeldavaid isikuandmeid töödelda ja edastada igavesti. Paragrahv 15 lõige 2 punkt 4 kohustab selliste andmete töötlemise ja edastamise lõpetama, kui rikkumise lõppemisest on möödunud üle kolme aasta. Samuti on keelatud isikute kohta selliseid andmeid edastada juba siis, kui kohustuste rikkumisest on möödunud kõigest 30 päeva. Selline lühiajaline viivitus võib olla põhjustatud puhtalt objektiivsetest või muidu mõjuvatest põhjustest ning juhtumil, kui isik lepingurikkumise kohe heastab, oleks võimalik tagajärg, et teda loetakse kolme aasta jooksul ebausaldusväärseks lepingupooleks, ilmselgelt liiga ränk. § 16. Isikuandmete töötlemine avalikus kohas ning isikute ja vara kaitseks Eelnõu paragrahv 16 reguleerib küsimust, mis on reguleeritud ka kehtiva IKSi paragrahvi 14 lõikes 3 ja paragrahvi 11 lõikes 8. Eelnõuga ajakohastatakse nimetatud sätete sõnastust, mis oleks kooskõlas üldmääruses sätestatuga. Põhimõtted, mida järgida ehk andmesubjekti teavitamine heli- või pildimaterjali jäädvustamise faktist, jäävad samaks, kuid lisatakse tingimus, et teavitamisega ei tohiks kaasneda ebaproportsionaalseid kulutusi Nutiseadmete kasutamise järjepidev tõus ning igapäevastumine on muu hulgas üks põhjuseid, miks jätkuvalt on vaja seda küsimust reguleerida ka uues seaduses, kuigi üldmäärus seda otseselt ei käsitle. Samuti on jälgimisseadmestiku kasutamise võimalused nüüdiskeskkonnas oluliselt suuremad, kui need olid ajal, kui võeti vastu kehtiv IKS. Avalike kohtade jälgimine avaliku korra tagamise eesmärgil jääb kõnesoleva paragrahvi kohaldamisalast välja. Ka filmimine, kui füüsiline isik teeb seda isiklikul otstarbel, jääb nii uue seaduse kui ka üldmääruse kohaldamisalast välja. 3.3. Isikuandmete töötlemine õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel ja karistuste täideviimisel Vastavalt üldmääruse nr 2016/679 art 2 lõike 2 punktile d ei kohaldata määrust, kui isikuandmeid töötlevad pädevad asutused süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil. Isikuandmete töötlemisele nimetatud eesmärkidel teostatavate isikuandmete töötlemise toimingute suhtes kohaldatakse seetõttu käesoleva eelnõu sätteid. Eelnõu 3. peatükk sätestab 21 isikuandmete töötlemise õiguslikud alused, mida peavad järgima õiguskaitseasutused süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel. 3.3.1. Üldsätted § 17. Käesoleva peatüki kohaldamisala Eelnõu § 17 kohaselt kohaldatakse uue IKSi 3. peatükki isikuandmete töötlemisele õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel, menetlemisel või karistuste täideviimisel. Direktiiv 2016/680 kasutab kohaldamisala piiritlemisel süütegude tõkestamist (prevention), uurimist (investigation), avastamist (detection), vastutusele võtmist (prosecution) ja kriminaalkaristuste täitmisele pööramist (execution of criminal penalties). Eesti õiguses on nii süütegude uurimine kui ka nende eest vastutusele võtmine direktiivi mõttes hõlmatud süütegude menetlemise mõistega, mistõttu kasutatakse just terminit süütegude menetlemine. Kuigi direktiivi 2016/680 kohaldamisala piiritlemisel kasutatakse eestikeelses tõlkes sõnastust karistuse täitmisele pööramine (execution of criminal penalties), on Eesti õigusega vastavuses karistuse täideviimine, mis hõlmab ka kohtuotsuse täitmisele pööramise. Vastavalt eelnõu § 17 lõikele 2 jääb seaduse 3. peatüki kohaldamisalast välja riikliku järelevalve teostamine korrakaitseseaduse § 2 lõike 4 tähenduses, kuivõrd sellisel juhul ei ole tegemist pädeva asutuse tegevusega, mis seisneks süütegude ennetamises, avastamises, uurimises, süüdistuse esitamises või avaliku julgeoleku tagamises direktiivi kohaldamisala tähenduses. Seega riikliku järelevalve teostamisel kohaldatakse määrust 2016/679 ning eelnõu 3. peatükk tuleb kohaldamisele väärteomenetluse alustamisel. Riikliku järelevalve pädevusega asutuste puhul, nagu seda on näiteks Terviseamet ja Tööinspektsioon, on vaja pöörata tähelepanu eelkõige määruse ja direktiivi erinevale kohaldamisalale. Kahe akti kohaldamine eeldab nende kohaldamisala eristamist ehk eristamist riikliku järelevalve teostamise ja väärteomenetluse läbiviimise vahel. Seega isikuandmete töötlemisele riikliku järelevalve teostamisel tuleb kohaldada andmekaitse üldmäärust ning eelnõu 3. peatüki kohaldamine tuleb kõne alla siis, kui alustatakse väärteomenetlust. Direktiivi 2016/680 ei kohaldata isikuandmete töötlemisele sellise tegevuse käigus, mis ei kuulu liidu õiguse kohaldamisalasse. Seega jääb direktiivi kohaldamisalast välja riikliku julgeolekuga seotud tegevus, riikliku julgeoleku küsimustega tegelevate asutuste või üksuste tegevus ning isikuandmete töötlemine liikmesriikide poolt Euroopa Liidu lepingu V jaotise 2. peatüki kohaldamisalasse kuuluva tegevuse käigus. Eestis hõlmab see julgeolekuasutusi, kelle tegevuse eesmärk on julgeolekuasutuste seaduse (JAS) § 2 lõike 1 järgi tagada riigi julgeolek põhiseadusliku korra püsimisega mittesõjaliste ennetavate vahendite kasutamise abil ning koguda ja töödelda julgeolekupoliitika kujundamiseks ja riigikaitseks vajalikku teavet. JASi § 3 lõike 1 järgi kogub ja töötleb julgeolekuasutus teavet, sealhulgas isikuandmeid, kui see on vajalik tema ülesannete täitmiseks. Eelnõu 3. peatükk ei kohaldu seega JASi alusel nimetatud julgeolekuasutustele riigi julgeoleku tagamisel (JAS § 5 kohaselt on julgeolekuasutused Kaitsepolitseiamet ja Välisluureamet). Eelnõu 3. peatükk kohaldub Kaitsepolitseiameti poolt isikuandmete töötlemisele, kui seda ei tehta riigi julgeoleku tagamiseks, vaid JAS § 6 punkti 3 kohaselt kuritegude tõkestamisel ning § 6 punkti 4 alusel kuritegude kohtueelsel uurimisel. 22 Seda põhjusel, et sellise tegevuse puhul on täidetud nii materiaalse kui ka isikulise kohaldamisala kriteeriumid, mis on direktiivi ja seega kõnealuse eelnõu 3. peatüki kohaldamise eelduseks. Eelnõu 3. peatüki kohaldamisala piiritlemiseks on eristatud isikulist ja materiaalset kohaldamisala. Eelnõu 3. peatüki sätete kohaldamiseks peavad olema täidetud kumulatiivselt nii materiaalse kui isikulise kohaldamisala kriteeriumid. Seega ei piisa eelnõu 3. peatüki sätete rakendamiseks sellest, et tegemist on pädeva asutusega, kui asutus tegutseb väljaspool materiaalses kohaldamisalas sätestatud ülesannete piire (näiteks Politsei- ja Piirivalveameti tegevus personali värbamisel). Isikulise kohaldamisala piiritlemiseks on selles peatükis võetud kasutusele õiguskaitseasutuste termin. Vastavalt eelnõu § 18 punktile 2 on õiguskaitseasutus 3. peatüki tähenduses asutus, kes on pädev seaduse alusel süütegusid tõkestama, avastama, menetlema või karistusi täide viima. Õiguskaitseasutuseks eelnõu 3. peatüki tähenduses on seaduses sätestatud väärtegude kohtuvälised menetlejad, nagu Finantsinspektsioon, Maanteamet, Terviseamet, Tööinspektsioon jm. Samuti karistuse täideviimisega tegelevad asutused, nagu vanglad ja kriminaalhooldusosakonnad. Karistuse täitmisele pööramine hõlmab nii rahatrahvi ja aresti kui ka rahalise karistuse ja vangistuse täitmisele pööramist. Väärteomenetluses pöörab määratud karistuse täitmisele kas kohtuväline menetleja või maakohus (VTMS § 202), kriminaalmenetluses on karistuse täitmisele pööramine kohtu või valdkonna eest vastutava ministri käskkirjaga määratud asutuse ülesanne (KrMS § 414 ja § 417). Üldkasuliku töö, elektroonilise valve ja ravi täideviimise eest vastutab süüdimõistetu elukohajärgne kriminaalhooldusosakond (KrMS § 419, 4191, 4192 ). Samuti tuleb kõnealuse peatüki sätteid kohaldada vangistuse ja aresti täideviimise korral vanglate ja arestimajade tegevusele. Lisaks isikulisele kohaldamisalale tuleb 3. peatüki kohaldamisala piiritlemiseks eristada ka selle materiaalset kohaldamisala. Nimelt kohaldub eelnõu 3. peatükk üksnes osale õiguskaitseasutuse tegevustest ning seetõttu jääb 3. peatüki kohaldamisalast välja selline õiguskaitseasutuse tegevus, mis ei ole suunatud süütegude tõkestamisele, avastamisele, menetlemisele või karistuste täideviimisele. Selline on näiteks õiguskaitseasutuse haldustegevus (sh dokumendihaldus, personalitöö jt), õiguskaitseasutuste haldustegevusele kohaldub määrus nr 2016/679. § 18. Terminid Eelnõu 3. peatükis kohaldatakse määruse nr 2016/679 artiklis 4 sätestatud termineid, et tagada isikuandmete valdkonda puudutavate terminite samatähenduslik kasutamine isikuandmete töötlemisega seonduva valdkonna reguleerimisel. Lisaks kasutatakse eelnõu 3. peatükis isikuandmete eriliikide terminit, mis ei sisaldu määruse 2016/679 artiklis 4 ning vajab seetõttu eraldi defineerimist. Lisaks defineerib direktiiv 2016/680 artiklis 3 punktis 7 pädeva asutuse, kelleks on eelnõu 3. peatüki tähenduses õiguskaitseasutus. 3.3.2. Põhimõtted § 19. Isikuandmete töötlemise põhimõtted Eelnõu §-s 19 on sätestatud isikuandmete töötlemise põhimõtted, mis tulenevad direktiivi 2016/680 artiklist 4 ning mida tuleb järgida 3. peatüki kohaldamisalasse jääva isikuandmete töötlemise korral. Direktiivi artiklist 4 tulenevad andmetöötluse üldpõhimõtted on sarnased 23 üldmääruse artiklis 5 sätestatuga, kuid arvestades valdkonna eripära on isikuandmete töötlemise põhimõtted sätestatud mõnevõrra leebemalt. Punktis 1 nimetatud põhimõtte kohaselt töödeldakse isikuandmeid seaduslikult ja õiglaselt. Selleks, et isikuandmete töötlemine oleks seaduslik, peab nende töötlemine olema vajalik pädeva asutuse avalikes huvides oleva ülesande täitmiseks liidu või liikmesriigi õiguse alusel süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil (direktiivi art 4 lõige 1 punkt 1, art 8 ja direktiivi põhjenduspunkt 35). Seaduslikkuse põhimõte ei takista õiguskaitseasutustel näiteks jälitustoimingute läbiviimist ning sellised toimingud on lubatud süütegude tõkestamise, avastamise, menetlemise või karistuste täideviimise eesmärgil, kui need on seaduses ette nähtud ning kujutavad endast demokraatlikus ühiskonnas vajalikku ja proportsionaalset meedet ning nende puhul arvestatakse nõuetekohaselt asjaomase füüsilise isiku õigustatud huve. Andmekaitses kehtiv õiglase töötlemise põhimõte on määratletud Euroopa Liidu põhiõiguste harta artiklis 47 ja Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni artiklis 6 õiglase kohtumenetluse õigusest eraldiseisva põhimõttena. Direktiivi põhjenduspunkti 26 kohaselt tuleb isikuandmete töötlemisel füüsilisi isikuid teavitada nende isikuandmete töötlemisega seotud ohtudest, normidest, kaitsemeetmetest ja õigustest ning sellest, kuidas nad saavad isikuandmete töötlemisega seoses oma õigusi kasutada (vt ka eelnõu 3. peatüki 3. jagu „Andmesubjekti õigused“ ja § 48 „Andmesubjekti teavitamine isikuandmetega seotud rikkumisest“). Punktis 2 on sätestatud eesmärgikohasuse põhimõte, mille kohaselt kogutakse isikuandmeid täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda viisil, mis on nende eesmärkidega vastuolus. Eesmärgikohasuse põhimõttest tulenevalt tohib isikuandmeid koguda süütegude tõkestamise, avastamise, menetlemise või karistuste täideviimise eesmärgil. Õiguskaitsevaldkonna puhul võib süütegude tõkestamiseks, avastamiseks, menetlemiseks ja karistuste täideviimiseks olla vaja konkreetsel eesmärgil kogutud andmeid kasutada ka muuks otstarbeks ja teises menetluses, et saada teadmisi kuritegevuse kohta ning eri avastatud süütegusid omavahel seostada. Valdkonna eripära arvestades on üsna tavapärane, et andmete kasutamise eesmärk muutub ning tekib vajadus kasutada varem kogutud andmeid ka muul eesmärgil. Sellest tulenevalt on käesoleva eelnõu §-s 6 sätestatud alused isikuandmete töötlemiseks muul eesmärgil. Vastavalt eelnõu § 6 lõike 1 punktile 2 võib avaliku võimu kandja isikuandmeid töödelda muul eesmärgil võrreldes sellega, mille jaoks isikuandmed on algselt kogutud, kui seda tehakse avaliku ülesande täitmiseks või avaliku võimu teostamiseks ning andmete edasine töötlemine on vajalik süütegude tõkestamiseks, avastamiseks, menetlemiseks või karistuste täideviimiseks. Punktis 3 on sätestatud andmete kvaliteedi põhimõte, mille kohaselt isikuandmed peavad olema piisavad ja asjakohased ning ei tohi olla ülemäärased andmetöötluse eesmärkide suhtes. Sellest tulenevalt võib isikuandmeid koguda üksnes ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks. See põhimõte erineb üldmääruse art 5 lõike 1 punktis c sätestatust, mille kohaselt on isikuandmete kogumine piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt (võimalikult väheste andmete kogumise põhimõte). Direktiivi artikli 4 lg 24 1 punkti c kohaselt ei tohi andmed olla ülemäärased andmetöötluse eesmärkide suhtes. Tulenevalt eelnõu 3. peatüki kohaldamisala valdkonnast on see andmetöötluse põhimõte sätestatud pehmemalt, sest nii kriminaal- kui ka väärteomenetluse eri etapil ei pruugi olla teada, millised andmed on taotletava eesmärgi suhtes asjakohased ning seetõttu võib menetlejal olla tarvis koguda andmeid ulatuslikumalt, kui neid tegelikult kasutatakse. Samas tuleb arvestada, et selline andmete kogumine ei tohi olla siiski ülemäärane ning peab olema kooskõlas ka eesmärgikohasuse põhimõttega. Punktis 4 on sätestatud õigsuse põhimõte, mille kohaselt isikuandmed peavad olema õiged ja vajaduse korral ajakohastatud. Sellest põhimõttest tulenevalt peab andmetöötluse eesmärgi seisukohast ebaõiged isikuandmed viivitamata kustutama või parandama. Direktiivi põhjenduspunktis 30 on märgitud, et eelkõige kohtumenetluses antakse isikuandmeid sisaldavaid ütlusi, mis põhinevad füüsiliste isikute subjektiivsel ettekujutusel toimunust ning mida ei saa alati kontrollida. Seetõttu ei tohiks õigsuse nõue puudutada tunnistuse õigsust, vaid üksnes tõsiasja, et konkreetne tunnistus on antud. Õiguse põhimõte seondub eelnõu §-s 37 nimetatud isikuandmete töötlemise nõuetega ning §-s 28 nimetatud andmesubjekti õigusega nõuda isikuandmete parandamist ja kustutamist. Punktis 5 on sätestatud säilitamise põhimõte, mille kohaselt säilitatakse isikuandmeid kujul, mis võimaldab andmesubjekte tuvastada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. Seega peaks isikuandmeid säilitama piiratud aja jooksul. Varem ei olnud Eesti õiguses isikuandmete töötlemiseks säilitamise põhimõtet sellisel kujul kehtestatud. Tagamaks, et andmeid ei säilitataks vajalikust kauem, peaks vastutav töötleja kindlaks määrama andmete kustutamise tähtajad. Säilitamise põhimõte seondub eelnõu §-ga 21, kus on sätestatud isikuandmete säilitamise nõuded. Punktis 6 on sätestatud turvalisuse põhimõte, mille kohaselt peab isikuandmeid töötlema viisil, mis tagab nende turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustamise eest. Turvalisuse põhimõtte järgimiseks tuleks kasutada asjakohaseid tehnilisi või korralduslikke meetmeid. Andmesubjektide õiguste ja vabaduste kaitsmise vajadusest tulenevalt esineb vajadus, et isikuandmete töötlemise ajal tuleb rakendada asjakohaseid meetmeid, et tagada isikuandmete turvalisus ja eelkõige välistada andmete omavolilise töötlemise võimalus. Turvameetmete piisavus on tulenevalt tehnoloogia arenemisest ajas muutuv näitaja, mistõttu tuleb igal ajal isikuandmete töötlemisel tagada selline turvalisuse tase, mis on võimalik saavutada, arvestades tehnoloogia taset. Turvalisuse tagamiseks peaks vastutav töötleja või volitatud töötleja hindama töötlemisega seotud ohtusid ja rakendama asjaomaste ohtude leevendamiseks meetmeid, näiteks krüpteerimist. Selliste meetmetega tuleks tagada vajalik turvalisuse tase, sealhulgas konfidentsiaalsus, ja võtta arvesse teaduse ja tehnoloogia viimast arengut, ohule vastavaid rakenduskulusid ja kaitstavate isikuandmete laadi. Andmeturbeohtusid hinnates tuleks kaaluda isikuandmete töötlemisest tulenevaid ohtusid, nagu edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine või loata avalikustamine või neile juurdepääs, mille tagajärjel võib eelkõige tekkida füüsiline, varaline või mittevaraline kahju. Turvalisuse põhimõttega seonduvalt tuleb tagada, et isikuandmete eriliikide suhtes kohaldataks kõrgemaid tehnilisi ja korralduslikke kaitsemeetmeid, et tagada andmesubjektide põhiõiguste ja -vabaduste maksimaalne kaitse niivõrd tundlike isikuandmete töötlemisel. Turvalisuse põhimõte seondub eelnõu 3. peatüki 6. 25 jaoga, kus on sätestatud isikuandmete töötlemise nõuded ja isikuandmete töötlemise turvameetmed. § 20. Isikuandmete töötlemise seaduslikkus Selleks et isikuandmete töötlemine oleks seaduslik, peaks nende töötlemine olema vajalik õiguskaitseasutuse avalikes huvides oleva ülesande täitmiseks seaduse alusel süütegude tõkestamise, avastamise, menetlemise või karistuse täideviimise eesmärgil. Õiguskaitseasutustele institutsiooniliselt süütegude tõkestamise, avastamise ja menetlemise eesmärgil seadusega antud ülesanne annab neile õiguse nõuda või kohustada, et füüsilised isikud vastaksid esitatud taotlustele. Seetõttu ei ole andmesubjekti nõusolek (mis on määratletud üldmääruses 2016/679) õiguslik alus isikuandmete töötlemiseks õiguskaitseasutuste poolt. Kui õiguskaitseasutus nõuab andmesubjektilt juriidilise kohustuse täitmist, puudub andmesubjektil tõeline ja vaba valikuvõimalus ning seetõttu ei saa tema reaktsiooni käsitada vabatahtliku tahteavaldusena. See ei takista aga näiteks võimalust näha ette seda, et andmesubjekt võib nõustuda oma isikuandmete töötlemisega nimetatud eesmärgil, nagu näiteks tema asukoha jälgimine elektroonilise valve kohaldamisel karistuste täideviimisel. § 21. Isikuandmete säilitamine Erinevalt kehtivast IKS-st on eelnõus kavandatuga sätestatud isikuandmete kindla säilitamisperioodi nõue. See nõue tuleneb direktiivi art 4 lg 1 punktist e ning artiklist 5. Vastavalt direktiivi põhjenduspunktile 26 peaks vastutav töötleja selle tagamiseks, et andmeid ei säilitataks vajalikust kauem, kindlaks määrama tähtajad andmete kustutamiseks või korrapäraseks läbivaatamiseks. Isikuandmeid tohib säilitada kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik õigusaktis sätestatud eesmärgi saavutamiseks. Isikuandmete säilitamise tähtaeg on üldjuhul sätestatud seaduses, mille puhul vastutaval töötlejal ei ole võimalik eraldi säilitamise tähtaega kehtestada ning tuleb järgida seaduses sätestatut. Olukorras, kus seaduses säilitamise tähtaega ei ole kehtestatud, peab vastutav töötleja isikuandmete töötlemisel tagama, et kehtestab ka isikuandmete säilitamise tähtaja. Isikuandmeid ei ole lubatud säilitata vajalikust kauem, mistõttu tuleb isikuandmed kustutada pärast säilitamise tähtaja lõppemist jäädavalt. Tulenevalt eelnõu § 21 lõikest 1 määrab vastutav töötleja kindlaks töödeldavate isikuandmete säilitamise tähtaja, mida vastavalt lõikele 2 võib vastutav töötleja põhjendatud juhul pikendada. Seega ei pikene isikuandmete säilitamise tähtaeg automaatselt, vaid isikuandmete säilitamise pikendamine peab olema põhjendatud. Säilitamisperioodi pikendamist peavad toetama piisavad ja asjakohased põhjused. Isikuandmete säilitamise tähtaja kindlaksmääramisel tuleb arvesse võtta isikuandmete töötlemise eesmärki ja selle vajadust kooskõlas proportsionaalsuse põhimõttega. Isikuandmete säilitamise tähtaja lõppemisel kustutab vastutav töötleja isikuandmed jäädavalt. Isikuandmete kustutamise all mõistetakse sisuliselt andmete hävitamist ehk andmed tuleb andmetöötlusest kõrvaldada sellisel viisil, et nende hilisem taastamine ei oleks tehniliselt võimalik. Tuleb arvestada, et andmete arhiveerimine on samuti töötlemine, mistõttu ei asenda andmete arhiveerimine nende kustutamist. Eelnõu §-s 21 lõikes 1 sätestatud nõue välistab võimaluse säilitada isikuandmeid määramata aja jooksul. 26 Isikuandmete säilitamise tähtaeg peab olema kindlaks määratud ka andmesubjekti õiguste tagamiseks. Tulenevalt eelnõu § 26 lg 1 punktist 2 peab vastutav töötleja seaduses sätestatud andmesubjekti teavitamise kohustuse korral teavitama andmesubjekti isikuandmete säilitamise tähtajast või säilitamise tähtaja määramise alustest. Seega on andmesubjektil õigus teada, millise perioodi vältel tema kohta käivaid isikuandmeid säilitatakse. § 22. Andmesubjektide eri kategooriate eristamine Eelnõu §-s 22 on sätestatud direktiivi artiklist 6 tulenev põhimõte, mille kohaselt peab andmesubjekte selgelt eristama eri kategooriate kaupa. Tegemist on põhimõttega, mida varem isikuandmete kaitse seaduses või menetlusseadustikes ei olnud kehtestatud. Direktiivi põhjenduspunkti 31 kohaselt on kriminaalasjades tehtava õigusalase koostöö ja politseikoostöö käigus isikuandmete töötlemise puhul olemuslik, et töödeldakse eri kategooriatesse kuuluvate andmesubjektide isikuandmeid. Seetõttu, kui see on asjakohane, tuleks sellises ulatuses nagu võimalik selgelt eristada selliste andmesubjektide eri kategooriate isikuandmeid nagu: 1) kahtlusaluse; 2) süüteos süüdi mõistetud isikute; 3) süüteo ohvrite ning 4) muude isikute, nagu tunnistajad ja asjakohast teavet omavad isikud, ning kahtlustatavate ja süüdimõistetute kontaktisikute ja kaasosaliste andmed. Eesti õiguses ei olnud nõuet eristada andmesubjektide kategooriaid varem kehtestatud. Andmesubjektide eri kategooriatena on eelnõu §-s 22 nimetatud kahtlustatavad, süüdistatavad, kannatanud ning tunnistajad, kes on KrMS § 16 lg 2 kohaselt menetlusosalised. Lisaks nimetab väärteomenetluse seadustiku § 16 menetlusosalisena menetlusalust isikut. Sellest tulenevalt on vastutaval töötlejal kohustus eristada asjakohasel juhul isikuandmete töötlemisel andmesubjektide eri kategooriatena menetlusalused isikud, kahtlustatavad, süüdistatavad, kannatanud ning tunnistajad juhul, kui see on võimalik. Vastutav töötleja peab seega kasutusele võtma meetmeid, mis võimaldavad andmesubjekte eristada, ning näiteks andmetöötlustoimikutes ning registrites selgelt märkima, millist rolli andmesubjekt menetluses täidab. § 23. Hinnangutel põhinevate isikuandmete eristamine Direktiivi art 7 lõikest 1 tuleneb kohustus eristada faktidel põhinevaid isikuandmeid nii palju kui võimalik isiklikel hinnangutel põhinevatest isikuandmetest. Direktiivi põhjenduspunkti 47 kohaselt peaks füüsilisel isikul olema õigus teda käsitlevate ebaõigete isikuandmete parandamisele, eelkõige juhul, kui tegemist on faktiliste andmetega, ja kustutamisele, kui selliste andmete töötlemine rikub kõnesolevat direktiivi. Siiski ei tohiks andmete parandamise õigus mõjutada näiteks tunnistaja ütluse sisu. Seega on nõue eristada hinnangutel põhinevaid isikuandmeid seotud ka andmesubjekti õigusega nõuda teda käsitlevate ebaõigete isikuandmete parandamist. Andmesubjekti õigus nõuda andmete parandamist puudutab just faktidel põhinevaid isikuandmeid. Näiteks on raske ette kujutada olukorda, kus kahtlustatav nõuaks tema kohta käivate andmete parandamist kriminaaltoimikus, mis puudutab tunnistaja antud ütlusi. Seetõttu on vaja eristada ka faktidel ja hinnangutel põhinevaid isikuandmeid, et oleks võimalik sisustada andmesubjekti õigust nõuda isikuandmete parandamist. Näiteks on tunnistaja ülekuulamisprotokollis KrMS § 74 alusel selgelt eristatavad faktilised ja hinnangutel põhinevad isikuandmed. Nimelt KrMS § 74 lõike 1 punkti 1 alusel on tunnistaja 27 nimi, isikukood, kodakondsus, haridus, elu- ja töökoht või õppeasutuse nimetus faktidel põhinevad isikuandmed, mille õigsust on võimalik kontrollida. Samas on KrMS § 74 lõike 1 punktis 3 nimetatud tunnistaja ütlused sellised, kus sisalduvad hinnangutel põhinevad isikuandmed. § 24. Automatiseeritud töötlemine Eelnõu § 24 lõike 1 kohaselt on keelatud andmetöötlussüsteemi poolt selliste otsuste tegemine, mis toob andmesubjektile kaasa õiguslikke tagajärgi või mõjutab teda muul viisil märkimisväärselt. Direktiivi põhjenduspunkti 38 kohaselt peaks andmesubjektil olema õigus nõuda, et tema suhtes ei tehta üksnes isikuandmete automatiseeritud töötlemisele toetuvat isiklike aspektide hindamisel põhinevat otsust, millel on teda puudutavad negatiivsed õiguslikud tagajärjed või mis teda märkimisväärselt mõjutavad. Igal juhul tuleks sellise töötlemise korral kohaldada sobivaid kaitsemeetmeid, mis muu hulgas hõlmavad andmesubjektile konkreetse teabe andmist ja õigust otsesele isiklikule kontaktile, eelkõige õigust väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ja õigust otsust vaidlustada. Ühe sobiva kaitsemeetmena on ette nähtud eelnõu § 24 lõikes 2 andmesubjekti õigus esitada vastutavale töötlejale vastuväiteid oma õigustatud huvi kaitseks. Selline andmesubjekti õigus on näiteks tagatud KrMS §-s 228 sätestatud uurimisasutuse ja prokuratuuri tegevuse peale kaebamise võimalusega. Nimelt on KrMS §-s 228 sätestatud menetlusosalise ja menetlusvälise isiku õigus esitada prokuratuurile kaebus uurimisasutuse menetlustoimingu või määruse peale. See õigus tagab ka andmesubjektile võimaluse oma õigustatud huve kaitsta, kui ta leiab, et tema õigusi on automatiseeritud otsuse tegemisega rikutud. 3.3.3 Andmesubjekti õigused § 25. Andmesubjektile kättesaadavaks tehtav teave Vastavalt eelnõu § 25 lõikele 1 on vastutav töötleja kohustatud avalikustama punktides 1–5 nimetatud teabe. Tegemist on andmesubjektile kättesaadavaks tehtava teabega, mis peaks võimaldama andmesubjektil oma õigusi teostada. See teave võimaldab andmesubjektil tutvuda, mis eesmärgil võib vastutav töötleja isikuandmeid töödelda ning milline on andmesubjekti õiguste teostamise kord. Samuti peab olema andmesubjektile lihtsasti kättesaadavad andmekaitsespetsialisti, vastutava töötleja ning Andmekaitse Inspektsiooni kontaktandmed. Selline teave võib olla avalikustatud näiteks vastutava töötleja veebisaidil või muul andmesubjektile hõlpsasti ligipääsetavas asukohas. Selleks et andmesubjektil oleks võimalik oma õigusi tõhusalt teostada, peaks teave olema ka kergesti arusaadav ning selgelt ja lihtsalt sõnastatud. § 26. Andmesubjekti teavitamisel antav teave Eelnõu §-s 26 on ette nähtud kohustus anda andmesubjektile lõike 1 punktides 1–5 nimetatud teave sellisel juhul, kui seaduses on sätestatud kohustus teavitada andmesubjekti tema isikuandmete töötlemisest. Tegemist on andmesubjekti aktiivse teavitamise kohustusega, mida peab täitma vastutav töötleja ning selleks ei ole vaja andmesubjekti taotlust. Selliseks olukorraks on näiteks KrMS §-s 12613 sätestatud jälitustoimingust teavitamine, mille kohaselt teavitatakse isikut, kelle suhtes jälitustoiming tehti, ning isikut, kelle perekonna- või eraelu puutumatust jälitustoiminguga oluliselt riivati ja kes on menetluse käigus tuvastatud. Isiku 28 teavitamisel tuleb sellisel juhul anda andmesubjektile ka lõikes 1 punktides 1–5 nimetatud teave, et andmesubjektil oleks võimalik oma õigusi teostada. Eelnõu § 26 lõikes 2 on ette nähtud teabe andmise piiramise õigus, mille kohaselt võib teabe andmesubjektile esitada hiljem, piirata selle esitamist või jätta selle esitamata punktides 1–3 sätestatud juhtudel. Andmesubjekti õiguste piiramisel tuleb kaaluda andmesubjekti huve ning teiselt poolt punktide 1–3 alusel kaitstavaid huve, milleks on süütegude tõkestamine, avastamine, menetlemine või karistuste täideviimine, teise isiku õigused ja vabadused ning riiklik julgeolek. § 27. Andmesubjekti õigus saada teavet ja enda kohta käivaid isikuandmeid Sätte eesmärk on tagada, et füüsilisel isikul oleks võimalik teada, kas tema isikuandmeid töödeldakse, ja selleks et kontrollida sellise töötlemise seaduslikkust, õigus tutvuda andmetega, mis on tema kohta kogutud. Füüsiliste isikute kaitse isikuandmete töötlemisel on käsitatav põhiõigusena tulenevalt Euroopa Liidu põhiõiguse harta artikli 8 lõikest 1, mis sätestab, et igaühel on õigus oma isikuandmete kaitsele. Selle põhiõiguse lahutamatuks osaks on andmesubjekti õigus tutvuda isikuandmetega. Vastavalt § 27 lõikele 1 on andmesubjektil õigus esmalt saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse. Juhul kui isikuandmeid töödeldakse, sätestab § 27 lõige 2, millise teabe on vastutav töötleja kohustatud andmesubjekti soovil temale teatavaks tegema. Igal andmesubjektil peaks olema õigus teada isikuandmete töötlemise eesmärke, töötlemise ajavahemikku ja andmete vastuvõtjaid, sealhulgas kolmandates riikides, ning saada eelneva kohta teavet. Kui sellise teavitamise käigus antakse teavet isikuandmete päritolu kohta, et tohiks selline teave paljastada füüsiliste isikute identiteeti ega eelkõige konfidentsiaalseid allikaid. Kõnealuse õiguse tagamiseks piisab, kui andmesubjektil on olemas arusaadaval kujul nimetatud andmete täielik kokkuvõte ehk andmed kujul, mis võimaldab tal saada nendest andmetest teadlikuks ning kontrollida, et need on õiged ja neid töödeldakse isikuandmete kaitse seaduse kohaselt. Sellise kokkuvõtte võib esitada näiteks töödeldavate isikuandmete koopiana. Juurdepääs andmetele, mis sisalduvad kriminaaltoimikus, on reguleeritud KrMSi sätetega, mis reguleerivad juurdepääsu kriminaaltoimikule. Kriminaaltoimik on KrMS § 1601 kohaselt kriminaalmenetluses kogutud dokumentide kogum, seega sisaldab kriminaaltoimik nii kriminaalmenetluses töödeldud andmeid kui ka andmetöötlust puudutavat teavet. KrMS §-de 224 ja 2241 kohaselt on kahtlustataval, süüdistataval, kaitsjal, kannatanul ning tsiviilkostjal õigus tutvuda kriminaaltoimikuga. KrMSi kohaselt on selgelt piiritletud isikute ring, kellel on õigus toimikuga tutvuda. Samas võib toimikus sisalduda märkimisväärsel hulgal ka infot teiste isikute kohta, kellele aga ei ole võimaldatud juurdepääs toimikule ja sellest tulenevalt ka nende kohta kogutud isikuandmetele. Näiteks võib toimikus olla ulatuslikult teavet tunnistajate ja menetlusosaliste pereliikmete või tuttavate kohta, nende eraelu puudutavaid andmeid ja muu privaatsusõiguse kaitsealasse jääb teave. Siiski ei teki nendel isikutel toimikuga tutvumise õigust, kuivõrd see võib kahjustada kriminaalmenetlust. Kohtueelse menetluse andmete avaldamise tingimused on sätestatud KrMS §-s 214, mille lõike 1 kohaselt võib kohtueelse menetluse andmeid avaldada üksnes prokuratuuri loal ja tema määratud ulatuses ning paragrahvis 2 sätestatud tingimustel. Nimetatud olukord on vastavuses ka direktiivi 2016/680 artikliga 18, mille kohaselt võivad liikmesriigid ette näha, et kui 29 isikuandmed sisalduvad kohtuotsuses, karistusregistris või kriminaaluurimise ja -menetluse käigus töödeldavas toimikus, teostatakse andmesubjekti õigusi vastavalt liikmesriigi õigusele. Tulenevalt valdkonna eripärast on andmesubjekti õiguste teostamine piiratud ning vastutav töötleja võib eelnõu § 27 lõikes 1 nimetatud teabe andmesubjektile esitada hiljem, piirata selle esitamist või keelduda selle väljastamisest, kui see võib takistada või kahjustada süüteo tõkestamist, avastamist, menetlemist või karistuste täideviimist, kahjustada teise isiku õigusi ja vabadusi ning juhul, kui teabe avaldamine andmesubjektile võib kahjustada riiklikku julgeolekut. Siiski peaks vastutav töötleja iga konkreetse juhtumi puhul eraldi ja individuaalselt hindama, kas isikuandmetega tutvumise õigust tuleks osaliselt või täielikult piirata, kui selline andmesubjekti õiguste piiramine on proportsionaalne. Isikuandmetega tutvumisest keeldumise või selle piiramise korral tuleks andmesubjekti sellest teavitada ning seda põhjendada. Vastav põhjendus peaks sisaldama nii otsuse faktilisi kui ka õiguslikke aluseid. Juhul kui selliste põhjenduste andmine kahjustaks mõnda lõikes 2 nimetatud eesmärki, võib vastutav töötleja jätta põhjendused esitamata. Siiski tuleb teabe andmise piiramise või keeldumise otsuse faktilised ja õiguslikud alused vastutaval töötlejal dokumenteerida, et vajaduse korral teha kõnealune teave kättesaadavaks Andmekaitse Inspektsioonile. § 28. Andmesubjekti õigus nõuda isikuandmete parandamist ja kustutamist Eelnõu § 28 sätestab andmesubjekti õiguse nõuda isikuandmete parandamist ja kustutamist. Andmesubjektil on õigus nõuda teda puudutavate ebaõigete isikuandmete parandamist, eelkõige juhul, kui tegemist on faktidel põhinevate andmetega. Siiski ei tohiks andmete parandamise õigus mõjutada näiteks tunnistaja ütluse sisu ehk hinnangutel põhinevaid isikuandmeid. Asjakohasel juhul peaks andmesubjektil olema õigus nõuda mittetäielike isikuandmete täiendamist. Näiteks kui tunnistaja ülekuulamise protokolli on jäänud lisamata andmesubjekti aadress. Vastavalt eelnõu § 28 lõikele 3 on andmesubjektil õigus nõuda isikuandmete kustutamist, kui isikuandmete töötlemine ei ole seaduse alusel lubatud või rikub isikuandmete töötlemise põhimõtteid või on vajalik vastutava töötleja seaduses sätestatud kohustuse täitmiseks. Isikuandmete kustutamise asemel piirab vastutav töötleja nende töötlemist juhul, kui andmesubjekt vaidlustab isikuandmete õigsuse ning nende õigsust või ebaõigsust ei ole võimalik kindlaks teha või kui isikuandmeid tuleb säilitada tõendamise eesmärgil. Piiratud isikuandmeid tuleks sellisel juhul töödelda üksnes sel eesmärgil, mis takistas nende kustutamist. Isikuandmete töötlemise piiramise meetodid võivad muu hulgas hõlmata valitud andmete ümberpaigutamist teise töötlemissüsteemi, näiteks arhiveerimise eesmärgil, või valitud andmete muutmist kättesaamatuks. Automatiseeritud andmete kogumites tuleks isikuandmete töötlemise piiramine tagada üldjuhul tehniliste vahenditega. Asjaolu, et isikuandmete töötlemine on piiratud, tuleks süsteemis esitada nii, et isikuandmete töötlemisele seatud piirangu olemasolu oleks selge. Isikuandmete parandamisest, kustutamisest ja nende töötlemise piiramisest tuleks teavitada vastuvõtjaid, kellele isikuandmed on avaldatud, ning pädevaid asutusi, kellelt ebaõiged andmed pärinevad. Samuti peaksid vastutavad töötlejad hoiduma selliste andmete edasisest levitamisest. Piirangu kõrvaldamise korral on vastutav töötleja kohustatud andmesubjekti teavitama. 30 Kui vastutav töötleja keeldub isikuandmete parandamisest, kustutamisest või nende töötlemise piiramisest, teavitab vastutav töötleja andmesubjekti viivitamata selle põhjustest. Vastutav töötleja võib jätta põhjendused esitamata, kui sellise teabe andmine takistaks või kahjustaks süüteo tõkestamist, avastamist, menetlemist või karistuste täideviimist, kahjustaks teise isiku õigusi ja vabadusi või kahjustaks avalikku korda või riiklikku julgeolekut. Juhul kui vastutav töötleja teavitab andmesubjekti isikuandmete parandamisest või kustutamisest keeldumisest, teavitab ta ka õigusest pöörduda otsuse vaidlustamiseks Andmekaitse Inspektsiooni või kohtu poole. § 29. Vastutava töötleja kohustus teavitada isikuandmete parandamisest, kustutamisest ja nende töötlemise piiramisest Eelnõu § 29 sätestab täiendavalt, millised on vastutava töötleja kohustused, kui ta parandab või kustutab isikuandmeid või piirab nende töötlemist vastavalt §-le 28. Sellisel juhul peab vastutav töötleja teavitama sellest pädevat asutust, kellelt isikuandmed saadi, et kõnealusel asutusel oleks samuti võimalik parandada või kustutada nende vastutuse alla kuuluvad isikuandmed või piirata nende töötlemist. Samuti on vastutav töötleja kohustatud teavitama isikuandmete vastuvõtjaid, kui selliseid isikuandmeid on edastatud. § 30. Andmesubjekti õiguste teostamise kord Eelnõu §-s 30 on sätestatud üldine andmesubjekti õiguste teostamise kord, millest tuleb lähtuda andmesubjekti taotlustele vastamisel ja nende lahendamisel, sealhulgas §-des 27 ja 28 andmesubjektile sätestatud õiguste kasutamisel. Selleks et andmesubjektil oleks võimalik oma õigusi tõhusalt kasutada, peab vastutav töötleja vastama andmesubjekti taotlustele kokkuvõtlikus, arusaadavas ja hõlpsasti kättesaadavas vormis, kasutades selget ja lihtsat sõnastust. Võimaluse korral vastatakse andmesubjekti taotlusele tema soovitud viisil. Taotluse täitmiseks kaasnevate mõistlike kulude hüvitamist on vastutaval töötlejal võimalik küsida juhul, kui andmesubjekti taotlused on põhjendamatud või ülemäärased. Vastutav töötleja on iga taotluse puhul kohustatud hindama, kas taotlus on selgelt põhjendamatu või ülemäärane. Eelkõige on andmesubjekti taotlused põhjendamatud või ülemäärased, kui tegemist on korduva taotlusega. Sellisel juhul võib vastutav töötleja keelduda andmesubjekti taotletud meetmete võtmisest. Mõistlike kulude hüvitamiseks tuleb lähtuda seaduses, eelkõige avaliku teabe seaduses (AvTS) sätestatud teabenõude täitmise kulude katmise korrast. § 31. Andmesubjekti õigus pöörduda Andmekaitse Inspektsiooni poole Andmesubjektil on õigus pöörduda Andmekaitse Inspektsiooni poole ning sellise õiguse tagamise eesmärk on saavutada võimalikult kiire ja andmesubjekti vähem koormav, kuid samas tõhus menetlus. Kui andmesubjekt on pöördunud kaebusega Andmekaitse Inspektsiooni poole, teavitab Andmekaitse Inspektsioon tema kaebuse alusel tehtud otsusest ning õigusest pöörduda Andmekaitse Inspektsiooni otsuse vaidlustamiseks kohtusse. Lisaks on andmesubjektil eelnõu § 31 lõike 2 kohaselt õigus, et Andmekaitse Inspektsioon teavitaks teda haldusjärelevalve käigu tulemusest ehk otsusest, millele Andmekaiste Inspektsioon andmesubjekti taotluse lahendamisel jõudis. Eelnõu § 31 lõike 3 kohaselt suunab Andmekaitse Inspektsioon andmesubjekti oma kaebuse esitamiseks teise Euroopa Liidu liikmesriigi pädeva järelevalveasutuse poole, kui kaebust on pädev teise liikmesriigi pädev järelevalveasutus. Sätte eesmärk on seotud andmesubjekti 31 õigusega esitada kaebus ühele järelevalveasutusele, mistõttu peab Andmekaitse Inspektsioon tagama selle, et andmesubjektil on võimalus esitada oma kaebus õigele pädevale järelevalveasutusele. 3.3.4. Vastutava ja volitatud töötleja kohustused § 32. Vastutav ja volitatud töötleja Eelnõu § 32 lõige 1 sätestab vastutava töötleja üldised kohustused, mis on seotud vastutava töötleja olemusega. Nimelt määrab vastutav töötleja kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Seetõttu on vastutava töötleja kohustus rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete töötlemise nõuete täitmine isikuandmete töötlemisel, ning vajaduse korral peab ta tõendama selliste nõuete täitmist. Nimetatud põhimõte tuleneb direktiivi 2016/680 art 4 lõikest 4 ning art 19. Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel, mistõttu on eelnõu § 32 lõikes 2 sätestatud, et vastutav töötleja annab volitatud töötlejale kohustuslikke juhiseid isikuandmete töötlemiseks ja vastutab selle eest, et volitatud töötleja täidab isikuandmete töötlemise nõudeid. Volitatud töötleja määramise õigus on üksnes vastutaval töötlejal, kellel lasub vastutus ka töötlemise nõuetekohase korraldamise eest, mistõttu volitatud töötlejate määramisel peab vastutav töötleja tagama, et volitatud töötleja suudab tagada isikuandmete töötlemisel isikuandmete kaitse piisava taseme ja vastavuse seaduse nõuetele. Eelnõu § 32 lõikes 4 on üldine põhimõte, et volitatud töötleja võib isikuandmete töötlemise edasi volitada üksnes vastutava töötleja kirjalikul nõusolekul ning tingimusel, et ei ületata volitatud töötleja volituste mahtu. See tähendab, et volitatud töötleja ei saa töötlemisvolitusi edasi anda suuremas mahus, kui on tema enda volitused. § 33. Isikuandmete töötlemine vastutava töötleja nimel Eelnõu §-s 33 on sätestatud kohustuslikud nõuded, mida tuleb täita volitatud töötleja määramisel. Nimelt võib volitatud töötleja määrata isikuandmeid töötlema seaduse, seaduse alusel antud õigusakti või lepingu alusel. Eelnõu § 33 lõikes 2 on sätestatud, millised kohustused tuleb volitatud töötlejale tema määramisel ette näha. Kui volitatud töötleja määratakse lepingu alusel, tuleb selline leping sõlmida kirjalikus vormis tsiviilseadustiku üldosa20 § 78 tähenduses. § 34. Kaasvastutavad töötlejad Eelnõu §-s 34 on sätestatud kaasvastutavate töötlejate mõiste ning vastutavate töötlejate vastutuse määramise kord sellises olukorras. Mitu vastutavat töötlejat võivad olla kaasvastutavad töötlejad juhul, kui nad määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid. See tähendab, et mõlemad vastutavad töötlejad määravad võrdsetel alustel isikuandmete töötlemise eesmärgid ning selle jaoks eraldatavad vahendid määratakse samuti ühiselt, näiteks ühisest eelarvest. Seda ei saa siiski samastada olukorraga, kus mitu isikuandmete töötlejat jagavad näiteks ühte andmebaasi. Kaasvastutavate töötlejate puhul on 20 Tsiviilseadustiku üldosa seadus: https://www.riigiteataja.ee/akt/112032015106. 32 oluline määrata vastutusvaldkondade selge jaotumine, tehes seda kaasvastutavate töötlejate vahelise kokkuleppega. § 35. Isikuandmete töötlemine vastutava töötleja juhiste alusel Eelnõu § 35 väljendab põhimõtet, et vastutaval töötlejal lasub vastutus isikuandmete töötlemise nõuetekohase korraldamise eest, mistõttu peab igasugune isikuandmete töötlemine toimuma ainult vastutava volitatud töötleja juhiste alusel, välja arvatud eriseadustes sätestatud juhtudel. § 36. Lõimitud andmekaitse ja vaikimisi andmekaitse Eelnõu §-s 36 on sätestatud kaks andmekaitse põhilist põhimõtet, milleks on lõimitud ja vaikimisi andmekaitse. Lõimitud andmekaitse põhimõtte kohaselt peab vastutav töötleja rakendama teaduse ja tehnoloogia viimaseid saavutusi ja tegema vajalikke kulutusi. Samuti peab vastutav töötleja isikuandmete töötlemisvahendite kindlaksmääramisel võtma arvesse isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke. Lisaks peab vastatav töötleja isikuandmete töötlemise ajal võtma asjakohaseid tehnilisi ja korralduslikke meetmeid, nagu pseudonüümimine, mis on vajalikud andmekaitse põhimõtete tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse. Nimetatud meetmed on vajalikud, et täita isikuandmete töötlemisele kohaldatavaid nõudeid ja kaitsta andmesubjektide õigusi. Nimelt ei ole andmekaitse põhimõtete rakendamine ainult seaduses sätestatud nõuete järgimine, vaid isikuandmete töötlejad peavad igapäevaselt jälgima ka tehnoloogia arengusuundi, lisanduvaid uusi tooteid ja teenuseid. Lõimitud andmekaitse printsiipe võib rakendada igat tüüpi isikuandmete puhul. Rangemat tähelepanu nõuavad isikuandmete eriliigid, nagu näiteks inimese terviseandmed. Lõimitud andmekaitset iseloomustavad pigem ennetavad kui tagajärgedega tegelevad meetmed. Lõimitud andmekaitse põhimõtte rakendamine peaks ette nägema ja hoidma ära eraelu riivamise. Samuti peaks andmekaitse olema juba süsteemi vaikimisi sisse ehitatud ning olema selle süsteemi ülesehituse osa. Vaikimisi andmekaitse põhimõtte kohaselt peab vastutav töötleja rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise iga konkreetse eesmärgi saavutamiseks. Nimetatud kohustus kehtib kogutud isikuandmete hulga, töötlemise ulatuse, säilitamise tähtaja ja kättesaadavuse suhtes. Eelkõige tagatakse selliste meetmetega, et isikuandmeid ei tehta vaikimisi kättesaadavaks määramata füüsiliste isikute ringile ilma asjaomase isiku sekkumiseta. § 37. Isikuandmete töötlemise nõuded Eelnõu §-s 37 on sätestatud isikuandmete töötlemise üldised nõuded, mida vastutav ja volitatud töötleja peavad isikuandmete töötlemisel täitma. Kehtiv isikuandmete kaitse seaduse § 24 sätestab samuti üldised isikuandmete töötlemise nõuded, mida nii vastutav kui ka volitatud töötleja on kohustatud järgima. Eelnõu § 37 punkt 1 on seotud isikuandmete töötlemise õigsuse põhimõttega, mille kohaselt isikuandmete töötleja on kohustatud tagama, et isikuandmed on õiged ehk selle tagamiseks parandama ebaõiged isikuandmed. Punkt 2 on seotud isikuandmete töötlemise seaduslikkuse põhimõttega, mille kohaselt peaks vastutav või volitatud töötleja kustutama isikuandmed, kui isikuandmete töötlemine ei ole seaduse alusel 33 lubatud. Samuti peaks isikuandmed kustutama, kui isikuandmete töötlemine rikub isikuandmete töötlemise põhimõtteid. Näiteks olukorras, kus isikuandmeid ei töödelda enam vastavalt algsele eesmärgile ning muul eesmärgil töötlemise alus puudub. Samuti olukorras, kus isikuandmeid on kogutud ülemääraselt ning nende töötlemine rikub isikuandmete kvaliteedi põhimõtet. Eelnõu § 36 punkt 3 sätestab, et vastutav või volitatud töötleja on kohustatud teavitama vastuvõtjat, kui isikuandmed on edastatud ebaseaduslikult või edastatud on ebaõigeid isikuandmeid. Nimetatud kohustus tagab isikuandmete töötlemise õigsuse põhimõtte rakendamise ning võimaldab vastuvõtjal ebaõiged isikuandmed parandada või kustutada. Selleks et tagada isikuandmete töötlemise nõuete järgimine ning andmekaitse kõrge tase, peab vastutav töötleja või volitatud töötleja tegema koostööd Andmekaitse Inspektsiooniga. § 38. Isikuandmete edastamise nõuded Eelnõu §-s 38 on sätestatud konkreetsed nõuded, mida tuleb järgida isikuandmete edastamisel, mille eesmärk on tagada isikuandmete töötlemisel nende õigsus ning vähendada võimalusi, et isikuandmete edastamisel võivad isikuandmed muutuda ebaõigeks. Eelnõu § 38 lõikes 2 on sätestatud, et vastutav töötleja lisab võimaluse korral vajaliku teabe, mis võimaldab hinnata isikuandmete õigsust, täielikkust, usaldusväärsust ja ajakohasust. Selliseks teabeks on näiteks informatsioon selle kohta, millal isikuandmed on kogutud või kellelt isikuandmed pärinevad. See võimaldab isikuandmete vastuvõtjal hinnata, kuivõrd usaldusväärsed kõnealused isikuandmed on. Eelnõu § 38 lõike 3 kohaselt peab vastutav töötleja teavitama ka sellistest eritingimustest, mida kohaldatakse isikuandmete töötlemisele. Näiteks võib selliseks eritingimuseks olla teatud tehniline kaitsemeede, mida kohaldatakse kõnealuste isikuandmete töötlemisel, näiteks isikuandmete krüpteerimine või muud protseduurireeglid, mida isikuandmete töötlemisele kohaldatakse. § 39. Logimine Eelnõu § 39 lõikest 1 tuleneb kohustus pidada logisid automatiseeritud töötlussüsteemides tehtavate teatud isikuandmete töötlemise toimingute kohta, mis on toodud eelnõu § 39 lõike 1 punktides 1-7 ning lõikes 2 on täpsustatud, mida kõnealuste logide pidamisel peab olema võimalik tuvastada. Logide pidamise eesmärk on tagada isikuandmete töötlemisel töötlemistoimingute läbipaistvus ning võimaldada läbi viia nii sisemist kontrolli kui ka võimaldada Andmekaitse Inspektsioonil teostada tõhusalt järelevalvet isikuandmete töötlemise nõuete täitmise üle. Kuna ka logid on isikuandmeteks, tuleb säilitamise põhimõtte täitmiseks kehtestada logide säilitamise tähtajad ning need säilitamise tähtaja möödumisel jäädavalt kustutada. § 40. Isikuandmete töötlemise toimingute registreerimine Eelnõu §-s 40 sätestatu eesmärk on tagada, et isikuandmete töötlemisega seonduv teave oleks ülevaatlik ning kättesaadav eelkõige eesmärgil, et kontrollida isikuandmete töötlemise toimingute vastavust isikuandmete töötlemisega seonduvatele nõuetele. Tegemist on isikuandmete töötlemise toiminguid kajastava ülevaatliku teabega ning sätte eesmärk ei ole koostada iga isikuandmete töötlemise toimingu kohta eraldi dokumenti, mis sisaldab § 40 lõikes 1 või 2 nimetatud teavet. Isikuandmete registreerimise nõue tähendab, et vastutaval ja volitatud töötlejal peab olema ülevaade sellest, milliseid isikuandmeid ning millisel eesmärgil töödeldakse. Isikuandmete töötlemise toimingud võib registreerida kirjalikku taasesitamist võimaldavas vormis. Siinkohal on oluline, et nimetatud dokumendid oleks võimalik 34 Andmekaitse Inspektsioonile vajaduse korral kättesaadavaks teha. Näiteks võib selleks olla ka isikuandmete töötlemise jaoks loodud eraldi programm, milles kajastub §-s 40 nimetatud teave ning samuti võib selliseid dokumente pidada ka paberil. § 41. Andmekaitsealane mõjuhinnang Andmekaitsealase mõjuhinnangu läbiviimise kohustus teatud tingimustel tuleneb direktiivi artiklist 27 ning vastab oma sisult andmekaitsealase mõjuhinnangu läbiviimisele üldmääruse 2016/679 artikli 35 alusel. Andmekaitsealase mõjuhinnangu läbiviimine andmine on eelnõu § 40 lõike 1 kohaselt kohustuslik, kui isikuandmete töötlemise tulemusena ning töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes võib kaasneda suur oht füüsilise isiku õigustele ja vabadustele. Üldmääruse 2016/679 artikli 35 lõige 3 sätestab kindlad juhud, millal on andmekaitsealase mõjuhinnangu tegemine nõutav: 1) toimub isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automatiseeritud töötlusel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt isikut; 2) määruse nr 2016/679 artikli 9 lõikes 1 sätestatud isikuandmete eriliikide või artiklis 10 sätestatud süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmete ulatuslik töötlemine; 3) avalike kohtade ulatuslik süstemaatiline jälgimine. Seega võib järeldada, et nimetatud juhtudel võib kaasneda alati suur oht füüsilise isiku õigustele ja vabadustele. Samuti võib tõenäoliselt kaasneda suur oht juhul, kui võetakse kasutusele uusi tehnoloogiaid isikuandmete töötlemiseks. Erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhul, kui töötlemine võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist kahju, maine kahjustamist, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu, pseudonüümimise loata tühistamist või mõnda muud ulatuslikku majanduslikku või sotsiaalset kahju. Samuti juhul, kui andmesubjekt võib jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle. Suur oht võib tõenäoliselt kaasneda ka juhul, kui töödeldakse isikuandmeid, mis paljastavad rassilist ja etnilist päritolu, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi ning ametiühingusse kuulumist, samuti geneetilisi andmeid, andmeid tervise, seksuaalelu ning süüteoasjades süüdimõistvate kohtuotsuste ja süütegude ning nendega seotud turvameetmete kohta või kui hinnatakse isiklikke aspekte, eelkõige töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste või huvide, usaldusväärsuse või käitumise, asukoha või liikumisega seotud aspektide analüüsimisel või prognoosimisel, et luua või kasutada isiklikke profiile. Samuti võib oht esineda olukorras, kus töödeldakse kaitsetute füüsiliste isikute, eriti laste isikuandmeid. Suure ohu tõenäosus võib olla seotud ka isikuandmete töötlemisega ehk kui töötlemine hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte. Mõjuhinnang peaks konkreetsemalt sisaldama kavandatavaid meetmeid, kaitsemeetmeid ja mehhanisme, et tagada isikuandmete kaitse ja tõendada vastavust isikuandmete töötlemise nõuetele. Mõjuhinnangud peaksid hõlmama isikuandmete töötlemise toimingu asjaomaseid süsteemi ja menetlusi, kuid mitte üksikjuhtumeid. 35 Teatud juhtudel võib olla mõistlik ja säästlik hõlmata andmekaitsealase mõjuhinnanguga rohkem kui üht projekti, näiteks juhul, kui avaliku sektori asutused või organid kavatsevad kasutusele võtta ühise rakenduse või töötlemisplatvormi või mitu vastutavat töötlejat kavatseb kasutusele võtta ühise rakenduse või töötlemiskeskkonna kogu tööstusharus või allharus või laialdaselt kasutatava horisontaalse tegevuse puhul. Eraldi mõjuhinnangu koostamine ei ole kohustuslik, kui eelnevalt on läbiviidud mõni andmetöötlemist ettevalmistamistav ametlik dokument, näiteks seaduse eelnõu seletuskiri või muu eelnõud ettevalmistav dokument. Sellisel juhul peab nimetatud dokument kajastama piisavalt siiski eelnõu § 40 lõikes 2 nimetatud teavet. Mõju hindamise kohustus ei laiene sellisele töötlemisele, sh infosüsteemidele, mida rakendatakse kuni direktiivi ülevõtmise tähtaja saabumiseni. Nimelt täpsustab direktiivi põhjenduspunkt 96, et liikmesriigid peavad viima andmetöötluse kooskõlla direktiivi sätetega, kuid seejuures tuleb arvestada, et selliste kohustuste täitmine, mis puudutab eelnevat konsulteerimist järelevalveasutusega, ei ole nõutav, kui andmetöötlus on õiguspärane ning kooskõlas kuni direktiivi jõustumiseni kehtinud õigusnormidega. Ühtlasi näeb üldmääruse 2016/679 art 35 lõige 10 ette, et juhul, kui mõjuanalüüsi sarnane analüüs on riigisisesest õigusest tulenevalt juba läbi viidud, ei pea mõjuanalüüsi uuesti tegema. Eeltoodust tulenevalt on justiitsministeerium seisukohal, et juba kasutuses olevatele infosüsteemide puhul ei ole eraldi mõjuhinnangut vaja ning sellisele tõlgendusele on viidanud ka Euroopa Komisjon. § 42. Eelnev konsulteerimine Andmekaitse Inspektsiooniga Eelneva konsulteerimise kohustus tuleneb direktiivi artiklist 28 ning samasisuline kohustus on sätestatud ka üldmääruse 2016/679 artiklis 36. Kui andmekaitsealane mõjuhinnang näitab, et töötlemise tulemusena tekiks ohu leevendamise kaitsemeetmete ning turvameetmete ja - mehhanismide puudumise korral suur oht füüsilise isiku õigustele ja vabadustele, ning vastutav töötleja leiab, et seda ohtu ei ole võimalik kättesaadava tehnoloogia ja rakendamiskulude seisukohast mõistlike meetmetega leevendada, tuleks enne isikuandmete töötlemise toimingute alustamist konsulteerida järelevalveasutusega. Selline suur oht tekib tõenäoliselt isikuandmete teatud liiki töötluse ning töötlemisulatuse ja -sageduse tulemusena, mille tagajärjel võivad ka kahjustuda füüsilise isiku õigused ja vabadused või sekkutakse nendesse. Eelnõu § 42 lõikest 6 tulenevalt võib Andmekaitse Inspektsioon koostada loetelu isikuandmete töötlemise toimingutest, mille puhul on eelnev konsulteerimine vajalik. See tähendab, et Andmekaitse Inspektsioonil on võimalik anda juhiseid selles osas, millised on isikuandmete töötlemise toimingud, mille puhul eelnev konsulteerimine võiks olla vajalik. 3.3.5. Andmekaitsespetsialist § 43. Andmekaitsespetsialisti määramine Vastavalt eelnõu §-le 42 on õiguskaitseasutusel kohustus määrata andmekaitsespetsialist, kuid sellisest kohustusest on vabastatud kohtud õigusemõistmise funktsiooni täites. Direktiiv 2016/680 art 32 ning üldmääruse 2016/679 art 37 kasutab inglise keeles sõnastust data protection officer. Eesti keelde on see termin tõlgitud kui „andmekaitseametnik“. Nimetatud tõlge tekitab vastuolu avaliku teenistuse seadusega (ATS), kus sätestatakse ametniku õiguslik 36 seisund. Andmekaitsespetsialist ei pea olema ametnik ATS tähenduses, mistõttu selguse huvides kasutatakse nimetust andmekaitsespetsialist. Andmekaitsespetsialisti määramise kohustus tuleneb direktiivi 2016/680 artiklist 32. Vastav kohustus on kooskõlas ka määruse 2016/679 art 37 lõike 1 punktiga a, kuivõrd kõik õiguskaitseasutused on ka avaliku võimu kandjad. Seega on nii määruse 2016/679 kui ka kõnesoleva eelnõu 3. peatüki kohaldamisalasse jääva tegevuse puhul andmekaitsespetsialisti puudutav regulatsioon ühtne ning andmekaitsespetsialisti käsitlevad sätted ei erine eelnõu 3. peatükis sätestatust. Seetõttu võib üks andmekaitsespetsialist olla määratud nii määruse 2016/679 kui ka kõnesoleva eelnõu 3. peatüki kohaldamisalasse jääva isikuandmete töötlemise nõuete täitmise järele kontrollimiseks. Eesmärk on tagada andmekaitseametnikku puudutava regulatsiooni ühtsus ning samuti vähendada halduskoormust, mis kaasneks olukorras, kui isikuandmete töötlemise üldmääruse kohaldamisalasse ja direktiivi kohaldamisalasse jäävate isikuandmete töötlemise toimingute jaoks oleks ühe asutuse piires vaja määrata kaks erinevat andmekaitseametnikku. Lisaks on võimalik eelnõu § 43 lõike 2 kohaselt õiguskaitseasutusel määrata mitme asutuse või organi jaoks üks andmekaitsespetsialist olenevalt nende asutuste organisatsioonilisest struktuurist ja suurusest. § 44. Andmekaitsespetsialisti ülesanded Eelnõu §-s 44 on sätestatud andmekaitsespetsialisti ülesanded, mida ta on kohustatud täitma kõnesoleva eelnõu 3. peatüki kohaldamisalasse jääva isikuandmete töötlemise toimingute puhul. Seega olukorras, kus on määratud üks andmekaitsespetsialist nii määruse 2016/679 kui ka kõnesoleva eelnõu 3. peatüki kohaldamisala jaoks, tulenevad andmekaitsespetsialisti ülesanded nii määruse 2016/679 artiklist 39 kui ka eelnõu §-st 44. Eelnõu § 44 lõike 2 kohaselt ei täida kohtu andmekaitsespetsialist selle paragrahvi lõikes 1 nimetatud ülesandeid kohtu õigusemõistmisega seotud tegevuste suhtes. Kohtu õigusemõistmisega seotud tegevuse piiritlemisel tuleb lähtuda Eesti Vabariigi põhiseaduse §-s 146 sätestatud õigusemõistmise tähendusest. Tavapäraselt mõistetakse õigusemõistmise all vaidluste lahendamist ja kuriteo või väärteo toime pannud isikute süü kindlakstegemist ja nendele karistuste mõistmist. Õigusemõistmise sisu hõlmab põhiseaduse ja seadustega kohtule antud pädevuse. Põhiseadus annab kohtule järgmise pädevuse, mida võib pidada õigusemõistmiseks: 1) seaduse ja muude õigustloovate aktide põhiseadusele vastavuse kontroll (§-d 15 ja 152); 2) avaliku võimu asutuse või ametiisiku sellise õigusakti või toimingu kontroll, mis rikub põhiseaduses sätestatud õigusi või vabadusi või on muul viisil põhiseadusega vastuolus (§ 15); 3) isikult vabaduse võtmise otsustamine (§-d 20 ja 21); 4) kuriteos süüdi tunnistamine (§ 22); 5) sundvõõrandamise seaduslikkuse üle otsustamine ning hüvitise suuruse määramine (§ 32); 6) loa andmine sekkumiseks sõnumite saladuse õigusesse (§ 43); 7) ühingu, liidu või erakonna tegevuse lõpetamine õigusrikkumise eest, samuti trahvi määramine nimetatud ühendustele (§ 48); 8) otsustamine, kas Riigikogu liige või Vabariigi President on kestvalt võimetu oma ülesandeid täitma (§-d 64 ja 68); 37 9) otsustamine, kas anda nõusolek Riigikogu esimehele Vabariigi Presidendi ülesannetes kuulutada välja Riigikogu erakorralised valimised või keelduda seadust välja kuulutamast (§ 83); 10) õiguskantsleri ja kohtuniku ametist tagandamine (§-d 140 ja 147).21 Eespool nimetatud tegevusi saab käsitada kohtu õigusemõistmise teostamiseks ning sellise tegevuse suhtes ei täida kohtu andmekaitsespetsialist oma ülesandeid. Lisaks on kohtutele pandud ülesandeid, mis ei ole seotud õigusemõistmisega. Maakohtus asub kinnistusosakond, mis peab kinnistusraamatuid ja abieluvararegistrit; registriosakond, kus peetakse äriregistrit, mittetulundusühingute ja sihtasutuste registrit, kommertspandiregistrit ja laevakinnistusraamatut; kriminaalhooldusosakond, mis valvab kriminaalhooldusaluste käitumise ja neile kohtu pandud kohustuste täitmise järele. Kuna nimetatud tegevus ei ole käsitatav õigusemõistmisena, on andmekaitsespetsialist pädev täitma temale pandud ülesandeid. § 45. Andmekaitsespetsialisti ametiseisund Andmekaitsespetsialisti ametiseisund vastab üldmääruse 2016/679 artiklis 38 sätestatule ning eelnõu 3. peatükis ei tehta erisusi andmekaitsespetsialisti ametiseisundi osas, mis jääb eelnõu 3. peatüki kohaldamisalasse. Seetõttu kohaldatakse ka määruse 2016/679 artikli 38 lõigetes 3, 4, 5 ja 6 sätestatut. 3.3.6. Isikuandmete töötlemise turvameetmed ja isikuandmetega seotud rikkumisest teavitamine § 46. Isikuandmete töötlemise turvameetmed Isikuandmete töötlemise turvameetmed on sätestatud kehtivas IKS §-s 25 ning on eelnõus säilinud põhiosas muutmata kujul. Lisandunud on andmetöötlussüsteeme puudutavad täiendavad nõuded. Nimelt on eelnõu § 46 punktis 9 sätestatud uus kohustus võtta turvameetmeid tagamaks, et andmetöötlussüsteeme oleks võimalik katkestuse korral taastada, ning punktis 10 on sätestatud kohustus tagada andmetöötlussüsteemi toimimine ja selles ilmnevatest toimimisvigadest teavitamine. Samuti on vastutav ja volitatud töötleja kohustatud võtma turvameetmeid eelnõu § 46 punkti 11 alusel, et ära hoida isikuandmete moonutamine süsteemirikete tagajärjel. § 47. Andmekaitse Inspektsiooni teavitamine isikuandmetega seotud rikkumisest Direktiivi artiklist 30 tuleneb uus kohustus teavitada järelevalveasutust isikuandmetega seotud rikkumisest, mida kehtivas IKS-s ei ole kehtestatud. Selline kohustus on sätestatud ka määruse 2016/679 artiklis 33. Eelnõu § 47 lõike 1 kohaselt on teavitamine kohustuslik, kui rikkumine kujutab endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Nimelt võib isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigel ajal ei käsitleta, põhjustada füüsilistele isikutele füüsilist, varalist või mittevaralist kahju, nagu näiteks kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, rahaline kahju, pseudonüümimise loata lõpetamine, maine 21 Eesti Vabariigi põhiseadus, § 146. Kommenteeritud väljaanne, 2017. 38 kahjustamine, ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu või mõni muu ulatuslik majanduslik või sotsiaalne kahju asjaomasele füüsilisele isikule. Seetõttu, niipea kui vastutav töötleja saab teada, et toimunud on isikuandmetega seotud rikkumine, mis kujutab endast vastutava töötleja hinnangul ka tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele, peab ta eelnõu § 47 lõike 1 kohaselt viivitamata ja võimaluse korral 72 tunni jooksul pärast selle teada saamist teavitama rikkumisest Andmekaitse Inspektsiooni. Juhul kui volitatud töötleja saab teabe isikuandmetega seotud rikkumisest, on ta kohustatud sellest viivitamata teavitama vastutavat töötlejat, kes saab omakorda teavitada Andmekaitse Inspektsiooni. Eelnõu § 47 lõike 4 kohaselt peab hiljem kui 72 tunni jooksul teavitamise korral esitama põhjenduse, miks ei olnud võimalik rikkumisest teavitada õigel ajal. § 48. Andmesubjekti teavitamine isikuandmetega seotud rikkumisest Lisaks eelnõu §-s 47 sätestatud kohustusele teavitada Andmekaitse Inspektsiooni isikuandmetega seotud rikkumisest, on vastutav töötleja kohustatud viivitamata teavitama sellisest rikkumisest ka andmesubjekti. Kohustus teavitada andmesubjekti isikuandmetega seotud rikkumisest tuleneb ka üldmääruse 2016/679 artiklist 34. Vastutav töötleja peaks ilma põhjendamatu viivituseta teavitama andmesubjekti isikuandmetega seotud rikkumisest, kui rikkumise tulemusena tekib tõenäoliselt suur oht füüsilise isiku õigustele ja vabadustele, et võimaldada andmesubjektil võtta vajalikke ettevaatusabinõusid. Teade tuleks saata andmesubjektile nii kiiresti kui mõistlikkuse piires võimalik ning tihedas koostöös järelevalveasutusega, pidades kinni tema või muude asjakohaste asutuste, nagu õiguskaitseasutuste suunistest. Näiteks kahju tekkimise otsese ohu leevendamise vajadus eeldaks andmesubjekti kohest teavitamist, samal ajal kui vajadus rakendada asjakohaseid meetmeid isikuandmetega seonduvate rikkumiste jätkumise või samalaadsete isikuandmetega seonduvate rikkumiste ärahoidmiseks võib õigustada hilisemat teavitamist. Erinevalt Andmekaitse Inspektsiooni teavitamisest, võib andmesubjekti jätta teavitamata, kui on täidetud mõni eelnõu § 47 lõikes 3 sätestatud tingimustest. Eelnõu § 47 lõige 3 punkt 3 võimaldab jätta teavitamata konkreetse andmesubjekti, kui teavitamine tooks kaasa ebaproportsionaalsed kulud. Näiteks võib selline olukord esineda, kui isikuandmetega seotud rikkumisega on seotud suur hulk andmesubjekte. Sellisel juhul peab olema isikuandmetega seotud rikkumisest teavitatud siiski üldsust. Selline teavitamine võib toimuda näiteks teadaande esitamisega Ametlikes Teadaannetes või mõnes üleriigilises päevalehes. Erinevalt määruse artiklist 34 on eelnõu § 48 lõikes 5 sätestatud alused, millal võib andmesubjekti teavitada hiljem, teavitada piiratud ulatuses või jätta ta teavitamata. Nimetatud alused on seotud valdkonna eripäraga ning andmesubjekti teavitamise piiramisel tuleb kaaluda andmesubjekti huve ja teiselt poolt eelnõu § 48 lõikes 5 sätestatud aluseid iga üksiku isikuandmetega seotud rikkumise puhul eraldi. 3.3.7. Isikuandmete edastamine kolmandale riigile ja rahvusvahelisele organisatsioonile Direktiivi 2016/680 artiklid 35–40 sätestavad piiriülese andmevahetuse reeglid. Kuivõrd EL on kõrge andmekaitsetasemega piirkond, rakendatakse isikuandmete edastamisel väljapoole ELi eritingimusi, mille eesmärgiks on tagada isikuandmete kaitse ning andmesubjekti õiguste tõhus rakendamine. Praegusel ajal on isikuandmete edastamine väljapoole ELi reguleeritud 39 näiteks IKS §-s 18, aga ka KrMS §-dega 4893–4895 ning politsei ja piirivalve seaduse §-s 746. Nimetatud sätted on direktiivi ülevõtmisel koondatud kõnesoleva eelnõu 3. peatükki. § 49. Isikuandmete kolmandale riigile ja rahvusvahelisele organisatsioonile edastamise üldtingimused Eelnõu §-s 48 on sätestatud isikuandmete edastamise üldtingimused, millest tuleb lähtuda igakordsel isikuandmete edastamisel kolmandale riigile ja rahvusvahelisele organisatsioonile ning millega võetakse üle direktiivi 2016/680 artikkel 35. Eelnõu § 48 lõike 1 punktis 4 on sätestatud, et isikuandmete edastamine on lubatud, kui Euroopa Komisjon on vastu võtnud kaitse piisavuse otsuse või selle puudumisel on võetud eelnõu §-s 50 nimetatud kaitsemeetmed ning mõlema eelpool nimetatud aluse puudumisel on võimalik isikuandmeid edastada § 51 alusel eriolukorras. Samuti peavad isikuandmete edastamisel olema täidetud kõigi nende kolme aluse puhul muud eelnõu §-s 49 lõike 1 punktides 1, 2, 3 ja 5 sätestatud tingimused. Seega on üldreegli kohaselt vaja mitme tingimuse üheaegset esinemist, et edastada andmed kolmandale riigile või rahvusvahelisele organisatsioonile. Siiski on erandeid, mis andmeedastust lubavad. Nimelt on eelnõu § 49 lõike 2 kohaselt võimalik edastada andmeid saatnud Euroopa Liidu liikmesriigi nõusolekuta juhul, kui see on vajalik riigi või kolmanda riigi avalikku korda ähvardava vahetu ja tõsise ohu vältimiseks või riigi olulise huvi kaitseks. Eelnõu jätab siinkohal lahtiseks muu olulise huvi mõiste ning see sisustatakse vastavalt konkreetsest juhtumist. Näiteks saab oluliste huvide alla paigutada riigi kriitilise infrastruktuuri ja teenuste toimise, majandus- ja finantssüsteemi kaitse. Selle sättega kaetakse erandolukorrad, mille puhul on vaja kiiresti reageerida ja tegutseda ning ei ole võimalik hankida vajalikku nõusolekut. Seejuures tuleb aga arvestada, et sellisest andmevahetusest tuleb viivitamata informeerida andmed edastanud riiki. Ohu hindamine jääb seejuures andmeid töötleva ja andmeedastuse üle otsustava riigi (st kõnealusel juhul Eesti) ülesandeks. § 50. Isikuandmete edastamine asjakohaste kaitsemeetmete kohaldamisel Üldreeglina on isikuandmete edastamiseks vajalik Euroopa Komisjoni kaitse piisavuse otsus, kuid eelnõu § 50 kohaselt on andmete edastamine lubatud, kui kohaldatud on piisavaid kaitsemeetmeid, mis on sätestatud eelnõu § 50 punktides 1 ja 2. Sellised kaitsemeetmed võivad punkti 1 kohaselt sisalduda õiguslikult siduvas aktis, nagu näiteks kahepoolses rahvusvahelises lepingus, mida rakendatakse riikide õiguskorras ning mida võivad jõustada nende andmesubjektid, tagades andmekaitsenõuete täitmise ja andmesubjektide õiguste kaitse, mis hõlmab õigust tõhusale haldus- või õiguskaitsele. Euroopa Komisjon on selgitanud, et näiteks isikuandmete automatiseeritud töötlemisel isiku kaitse konventsioon22 ei ole selline õiguslikult siduv akt, mille alusel on isikuandmete edastamine punkti 1 alusel lubatud, sest sätestatud nõuded on liiga üldise tasemega ega sisalda kaitsemeetmeid, mida andmesubjektid võiksid tõhusalt jõustada. Siiski võib konventsiooni täitmise ja kohaldamise asjaolusid kõnealuses riigis arvesse võtta kaitsemeetmete hindamisel eelnõu § 50 punkti 2 alusel. Nimelt võimaldab eelnõu § 50 punkt 2 isikuandmete edastamist, kui vastutav töötleja on hinnanud kõiki edastamisega seotud asjaolusid ning leidnud, et võetud on kõik isikuandmete kaitse seisukohast asjakohased kaitsemeetmed. Andmete edastamist puudutavate kõigi asjaolude hindamiseks peaks vastutav töötleja võtma arvesse Europoli või Eurojusti ja kolmandate 22 Isikuandmete automatiseeritud töötlemisel isiku kaitse konventsioon. https://www.riigiteataja.ee/akt/78300. 40 riikide vahel sõlmitud koostöökokkuleppeid, mis võimaldavad isikuandmete vahetamist. Vastutav töötleja peaks võtma arvesse ka asjaolu, et isikuandmete edastamisele kohaldatakse konfidentsiaalsuse kohustust ja sihtotstarbelisuse põhimõtet, millega tagatakse, et andmeid ei töödelda muul kui edastamisega seotud eesmärgil. Lisaks peaks vastutav töötleja võtma arvesse seda, et isikuandmeid ei kasutata selleks, et taotleda surmanuhtlust või muud julma ja ebainimlikku kohtlemist, anda selleks käsk või viia see täide. Kuigi kõnealuseid tingimusi võib lugeda asjakohasteks kaitsemeetmeteks, mis võimaldavad andmete edastamist, peaks vastutav töötleja saama nõuda täiendavaid kaitsemeetmeid. § 51. Isikuandmete edastamine eriolukordades Juhul kui Euroopa Komisjon ei ole võtnud vastu kaitse piisavuse otsust või puuduvad eelnõu §-s 50 sätestatud asjakohased kaitsemeetmed, on erandkorras isikuandmete edastamine lubatud eelnõu § 51 lõike 1 punktides 1–5 sätestatud vajaduse esinemisel. Eelnõu § 51 alusel võivad edastamistoimingud toimuda üksnes eriolukordades ning kõnealuseid erandeid tuleks tõlgendada kitsalt ning need ei tohiks võimaldada isikuandmete sagedast, ulatuslikku ja struktuurset edastamist ega andmete suuremahulist edastamist, vaid peaks piirduma rangelt vajalike andmetega. Samuti tuleb eelnõu § 51 lõike 2 kohaselt kaaluda andmesubjekti õigusi. Lõike 1 punktides 4 ja 5 sätestatud juhtudel ning olukorras, kus andmesubjekti õigused on kaalukamad, ei ole selline isikuandmete edastamine lubatud. § 52. Isikuandmete edastamine kolmandas riigis asuvale vastuvõtjale Isikuandmete edastamine reeglina toimub pädevate õiguskaitseasutuste ja ametlike kanalite kaudu. Siiski võib konkreetsetel üksikjuhtudel juhtuda, et tavapärased menetlused, mis nõuavad ühenduse võtmist sellise kolmanda riigi asutusega, ei ole mõjusad või asjakohased, eelkõige seetõttu, et andmeid ei saaks edastada õigel ajal, või seetõttu, et kõnealune kolmanda riigi asutus ei austa õigusriigi põhimõtet või rahvusvahelisi inimõiguste norme ja standardeid, mistõttu liikmesriikide pädevad asutused võiksid otsustada edastada isikuandmed otse kõnealustes kolmandates riikides asuvatele vastuvõtjatele. Selline olukord võib tekkida siis, kui isikuandmeid on vaja edastada kiiresti, et päästa süüteo ohvriks langemise ohus oleva isiku elu või hoida ära lähiajal toimepandav kuritegu, sealhulgas näiteks terrorikuritegu. Andmete edastamise lubatavust ja põhjendatust peab hindama Eesti pädev asutus, kes soovib välisriigilt saadud andmeid edastada vahetult vastuvõtjale. Isikuandmete edastamine on lubatud sellises olukorras üksnes juhul, kui on täidetud kõik eelnõu § 52 punktides 1–5 sätestatud tingimused. § 53. Andmekaitse Inspektsiooni teavitamine ja isikuandmete edastamise dokumenteerimine Direktiivi art 37 lõike 2 ning art 39 lõike 3 kohaselt peab edastav pädev asutus teatama isikuandmete edastamisest järelevalveasutust. Direktiivis sätestatud nõue on üle võetud eelnõu § 53 lõikes 1, mille kohaselt peab vastutav töötleja andma ülevaate Andmekaitse Inspektsioonile kõnesoleva seaduse § 50 lõike punkti 2 ja § 52 alusel toimunud isikuandmete edastamisest vähemalt üks kord aastas. Sellisest ülevaatest peab selguma, millistel alustel on vastutav töötleja hinnanud eelnõu § 50 punkti 2 alusel kolmanda riigi või rahvusvahelise organisatsiooni tagatavaid kaitsemeetmeid. Nimetatud ülevaade ei pea sisaldama igal üksikul juhul isikuandmete edastamise põhjuseid, vaid võib olla esitatud kokkuvõtlikul kujul, mille alusel on järelevalveasutusel võimalik teostada järelevalvet isikuandmete edastamise seaduslikkuse järele. 41 Eelnõu § 53 lõige 2 võtab üle direktiivi art 37 lõikes 3, art 38 lõikes 3 ning art 39 lõikes 4 sätestatu. Nimelt kui isikuandmed edastatakse kõnesoleva seaduse § 50 punkti 2, § 51 lõike 1 või § 52 alusel, dokumenteerib vastutav töötleja sellise edastamise, sealhulgas edastamise kuupäeva ja kellaaja, vastuvõtva pädeva asutuse andmed, edastamise selgituse ja edastatud isikuandmed. Dokumentide pidamise eesmärk on tagada võimalus kontrollida isikuandmete edastamise nõuetele vastavust kõnesolevas seaduses sätestatud nõuetega. 3.4. Riiklik ja haldusjärelevalve 3.4.1. Sõltumatu järelevalveasutus Suur enamus Andmekaitse Inspektsiooni tegevusest, ennekõike see, mis puudutab tema ülesandeid, pädevust ja volitusi, on reguleeritud üldmääruse artiklites 51–59, mis on otsekohalduva iseloomuga, mille tõttu nende küsimuste reguleerimine uues seaduses ei ole asjakohane ega ka lubatud. Võrreldes kehtiva IKS-ga, mis nimetatud küsimusi reguleerib, ajakohastatakse sätteid, et ühtlustada üldist õiguslikku raami nimetatud küsimustes ennekõike nii avaliku teenistuse seaduse kui ka vabariigi valitsuse seaduse seisukohast. § 54. Sõltumatu järelevalveasutuse moodustamine Üldmääruse artikkel 51 näeb ette, et liikmesriigis peab isikuandmete töötlemisega seonduvate küsimuste õiguspärasuse üle järelevalvet teostama sõltumatu järelevalveasutus. Praegu kehtiva IKSi kehtetuks tunnistamisega tunnistatakse kehtetuks ka 6. peatükk, mis reguleerib riiklikku ja haldusjärelevalvet, sealhulgas tervikuna Andmekaitse Inspektsiooni kui järelevalveasutuse tegevust. Eelnõu paragrahvi 53 kohaselt on sõltumatu järelevalveasutus Andmekaitse Inspektsioon, kes oma ülesannete täitmisel on sõltumatu ja kes tegutseb, lähtudes uuest seadusest, üldmäärusest ning muudest seadustest ja nende alusel kehtestatud õigusaktidest. § 55. Andmekaitse Inspektsiooni juhi ametisse nimetamiseks nõutav kvalifikatsioon Võrreldes kehtiva regulatsiooniga sätestatakse eelnõus nõutava kvalifikatsioonina see, et Andmekaitse Inspektsiooni juht peab olema juhtimiskogemusega kõrgharidusega isik, kellel on teadmised isikuandmete kaitse õiguslikust regulatsioonist ning info- ja kommunikatsioonitehnoloogiast, sealhulgas infosüsteemidest. Nimetatud säte täpsustab kehtivat regulatsiooni selles küsimuses, samas kaotab ära nõuded, mis on kehtestatud praegu kehtiva IKS paragrahvi 34 lõigetes 2 ja 3. Kehtiv õigusraam katab nii avaliku teenistuse seaduse kui ka vabariigi valitsuse seaduse mõttes need küsimused. § 56. Andmekaitse Inspektsiooni juhi ametisse nimetamine ja ametist vabastamine Üldmääruse artikkel 54 näeb ette, et liikmesriik peab kehtestama järelevalveasutuse juhi maksimaalse ametiaja pikkuse, millega soovitakse kaasa aidata järelevalveasutuse sõltumatuse tagamisele. Eelnõu käesoleva paragrahvi lõike 2 kohaselt võib Andmekaitse Inspektsiooni juhi ametisse nimetada maksimaalselt kaheks ametiajaks. 42 § 57. Andmekaitse Inspektsiooni pädevus andmekaitsespetsialisti kvalifitseerimisel Andmekaitse Inspektsiooni ülesanded on küll otsekohalduvad tulenevalt üldmäärusest, siiski kehtestatakse eelnõu kõnesolevas paragrahvis Andmekaitse Inspektsiooni pädevus korraldada üldmääruse artiklis 37 sätestatud andmekaitseametniku (andmekaitsespetsialist) puhul teadmiste ja kutseoskuste eksameid. § 58. Andmekaitse Inspektsiooni pädevus sertifitseerimisasutuse akrediteerimisel Üldmääruse art 43 lõige 1 ja art 55 näevad ette, et liikmesriik peab kehtestama asutuse, kes on pädev akrediteerima sertifitseerimisasutusi, millel on andmekaitse vallas asjakohased teadmised. 3.4.2. Riikliku ja haldusjärelevalve teostamine § 59. Andmekaitse Inspektsiooni pädevus riikliku ja haldusjärelevalve teostamisel Võrreldes kehtiva IKS-ga täiendatakse nimetatud küsimust ulatuses, mis on vajalik, et tagada kooskõla üldmääruses sätestatuga. Eelnõu kõnesoleva paragrahvi lõikes 1 sätestatakse, et uues seaduses ja selle alusel kehtestatud õigusaktides, teistes seadustes direktiivi 2016/680 ülevõtmiseks kehtestatud nõuete täitmise üle, määruses nr 2016/679 sätestatud nõuete ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle teostab riiklikku ja haldusjärelevalvet Andmekaitse Inspektsioon. Nimetatud sättega täidab Eesti seadusandja üldmääruse artiklist 57 tuleneva kohustuse, andes vastava pädevuse Andmekaitse Inspektsioonile. Andmekaitse Inspektsioon teostab riiklikku ja haldusjärelevalvet kõnesolevas ja selle alusel kehtestatud õigusaktides ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle. Seega on Andmekaitse Inspektsioon pädev järelevalveasutus direktiivi 2016/680 artikli 41 mõttes. Seetõttu täiendab eelnõu § 58 lõikes 2 sätestatud Andmekaitse Inspektsiooni pädevus kõnesoleva eelnõu 3. peatüki kohaldamisalasse jääva tegevuse puhul määruse nr 2016/679 artiklis 57 sätestatut. § 60. Riikliku järelevalve erimeetmed Võrreldes kehtiva IKS paragrahviga 321, täiendatakse eelnõu kõnesolevat paragrahvi korrakaitseseaduse paragrahvidega 44, 52, 53. § 61. Riikliku järelevalve erisused Eelnõu nimetatud sättes kehtestatakse Andmekaitse Inspektsiooni õigus rakendada üldmääruse artiklis 58 sätestatud meetmeid riikliku järelevalve teostamiseks. § 62. Haldusjärelevalve erisused Eelnõu paragrahvis 61 nähakse ette haldusjärelevalve erisused, mis seisnevad järgmises: 1) haldusjärelevalve teostamisel antud Andmekaitse Inspektsiooni ettekirjutuse täitmata jätmise korral võib Andmekaitse Inspektsioon pöörduda ettekirjutuse saanu kõrgemalseisva asutuse, isiku või kogu poole teenistusliku järelevalve korraldamiseks või ametniku suhtes distsiplinaarmenetluse algatamiseks; 43  2) teenistusliku järelevalve teostaja või distsiplinaarmenetluse algatamise õigust omav isik on kohustatud taotluse läbi vaatama selle saamisest alates ühe kuu jooksul ja esitama oma põhjendatud arvamuse Andmekaitse Inspektsioonile. Teenistusliku järelevalve või distsiplinaarmenetluse algatamise korral on järelevalve teostajal või distsiplinaarmenetluse algatamise õigust omaval isikul kohustus teavitada Andmekaitse Inspektsiooni viivitamata selle tulemustest. Ettekirjutuse all tuleb mõista üldmääruse art 58 sätestatud korraldust. § 63. Sunniraha määr Eelnõu paragrahviga 63 kehtestatakse sunniraha ülemmääraks 30 000 eurot. § 64. Kaebuse läbivaatamise tähtaeg Eelnõu §-ga 64 kehtestatakse tähtaeg, mis aja jooksul peab Andmekaitse Inspektsioon lahendama kaebuse, mille on talle esitanud andmesubjekt. Tegemist regulatsiooniga, mis on sarnane praegu kehtiva IKS §-ga 38. 3.5. Vastutus Eelnõu 5. peatükis on sätestatud väärteokoosseisud, mis tulenevad üldmääruse artiklist 83 tulenevast kohustusest määrata trahvid üldmääruse 2016/679 sätete rikkumise eest. Eesti õigussüsteem ei võimalda määrata trahve (administrative fines) üldmääruse sätestatud üldkorra kohaselt, kuna haldustrahve Eesti õiguses ei eksisteeri. Sellest tulenevalt on võimalus üldmääruse 83 lg-st 9 tulenevalt kohaldada trahve selliselt, et Eestis määrab trahvi järelevalveasutus (Andmekaitse Inspektsioon). Ka üldmääruse põhjenduspunktis 151 on selgelt välja toodud Eesti õigussüsteemi eripära, mille kohaselt ei võimalda Eesti õigussüsteem määrata trahve üldmääruses sätestatu kohaselt. Sellest tulenevalt on märgitud, et trahve käsitlevaid eeskirju saab kohaldada selliselt, et Eestis määrab trahvi järelevalveasutus väärteomenetluse raames, tingimusel et eeskirjade sellisel kohaldamisel nimetatud liikmesriikides on samaväärne toime nagu järelevalveasutuse määratud trahvidel. Kõnesoleva eelnõu 5. peatükk haakub karistusseadustiku ja sellega seonduvalt teiste seaduste muutmise seaduse (väärteokaristuste reform, ELi õigusest tulenevad rahatrahvid) eelnõuga23, mille justiitsministeerium on esitanud kooskõlastamiseks 18.08.2017. Nimetatud eelnõuga luuakse võimalus Euroopa Liidu õiguses sätestatud haldustrahvide kohaldamiseks väärteomenetluses ning võimaldab ette näha teatud rikkumiste eest senisest oluliselt suurema rahatrahvi ülemmääraga väärteokaristusi. Eelnõu 5. peatükis on sätestatud väärteokoosseisud üldmääruse artikli 83 lõike 4 punktidest a– c, lõike 5 punktidest a–e ja lõikest 6 tulenevalt. 23 Karistusseadustiku ja sellega seonduvalt teiste seaduste muutmise seaduse (väärteokaristuste reform, ELi õigusest tulenevad rahatrahvid) eelnõu: https://eelnoud.valitsus.ee/main/mount/docList/495deed0-3944-4bd9- b817-469ce0ad2845. 44 Määruse nr 2016/679 artikli 83 lõike 2 kohaselt tuleb igal konkreetsel juhul trahvi määramise ja selle suuruse üle pöörata tähelepanu sama lõike punktides a–k nimetatud asjaoludele. Näiteks rikkumise laadile, raskusele, kestusele ja samuti mõjutatud andmesubjektide hulgale ja neile tekitatud kahju suurusele. Üldmääruse artikli 83 lõigetes 3 ja 4 sätestatud trahve kohaldatakse väärteomenetluses. See tähendab, et üldmääruse artiklis 83 lõikes 2 nimetatud asjaolud on sellised, mis võimaldavad hinnata VTMS § 31 alusel, kas väärteomenetluse alustamine on toimepandud väärteo asjaolusid arvesse võttes põhjendatud, vajalik ja mõistlik. Rahatrahvide kohaldamise ühtse praktika tagamiseks on kohtuvälise menetleja juhil võimalik kasutada VTMS § 10 lg-s 21 sätestatud võimalust anda kõrgendatud ülemmääraga rahatrahvi kohaldamiseks üldiseid juhiseid. Üldääruse 2016/679 art 4 ja 5 näevad ette, et trahvi määratakse protsendina (vastavalt 2% või 4%) ettevõtja eelneva majandusaasta ülemaailmsest aastasest kogukäibest. Üldmääruses 2016/679 ei ole täpsustatud käibe arvutamiseks täiendavaid juhiseid. Sellest tulenevalt on mh juriidilise käibe kindlaksmääramisel asjakohane eelnimetatud karistusseadustiku ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu punkt 5, millega täiendatakse karistusseadustiku (KarS) üldosa §-ga 471 järgmiselt: „§ 471. Kõrgendatud ülemmääraga rahatrahv (1) Põhjendatud juhul, eelkõige kui see on vajalik Eestile siduva rahvusvahelise kohustuse täitmiseks, võib käesolevas seadustikus või muus seaduses väärteo eest ette näha kõrgendatud ülemmääraga rahatrahvi. Sellisel juhul võib kohus või kohtuväline menetleja väärteo eest kohaldada rahatrahvi kuni: 1) 20 000 000 eurot või 2) kolmekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas, kui sellist kasu või kahju on võimalik kindlaks teha. (2) Juriidilisele isikule võib käesoleva paragrahvi lõikes 1 sätestatud juhul kohus või kohtuväline menetleja väärteo eest kohaldada rahatrahvi kuni: 1) 20 000 000 eurot; 2) kolmekordses väärteo tulemusel teenitud kasule või ära hoitud kahjule vastavas summas, kui sellist kasu või kahju on võimalik kindlaks teha, või 3) 15 protsenti juriidilise isiku käibest. 2 (3) Kui käesoleva seadustiku eriosas või muus seaduses ei sätestata teisiti, on käesoleva paragrahvi lõike 2 punktis 3 sätestatud käibeks juriidilise isiku käive väärteomenetluse alustamise aastale vahetult eelneval majandusaastal või kui isik on tegutsenud alla aasta, siis väärteomenetluse alustamise aastal.“ 4. Eelnõu terminoloogia Eelnõu terminoloogia toetub üldmääruse artiklis 4 sätestatud terminitele, mis on liikmesriikidele otsekohalduvad. Eelnõu 3. peatükis on õiguskaitseasutuste direktiivi ülevõtmisel paragrahviga 18 samuti üle võetud üldmääruse artiklis 4 sätestatu. Eelnõu paragrahvis 4 kehtestatakse uus termin – avaliku võimu kandja. Direktiivi ülevõtmisest tulenevalt kasutatakse uute terminitena järgmisi: 45 eelnõu paragrahvi 18 lõike 1 punktis 1 määratletakse eriliiki isikuandmed, mis tugineb üldmääruse art 9 lõikele 1; eelnõu paragrahvi 18 lõike 1 punktis 2 määratletakse õiguskaitseasutus; eelnõu 3. peatüki 5. jaos määratletakse termin andmekaitsespetsialist, mis vastab sisult üldmääruse 4. peatüki 4. jaos sätestatud terminile andmekaitseametnik. 5. Eelnõu vastavus Euroopa Liidu õigusele Praegu reguleerib isikuandmete kaitse õigust üldseadusena IKS, millega on üle võetud direktiiv 95/46/EÜ. Alates 25. maist 2018 tunnistatakse direktiiv 95/46/EÜ kehtetuks, mida asendab otsekohalduv üldmäärus. Kuna IKS-ga on üle võetud direktiiv, mis tunnistatakse kehtetuks, siis tuleb riigisiseselt tunnistada kehtetuks ka IKS. Alates 25. maist 2018 reguleerib isikuandmete kaitse õigust liikmesriigis otsekohalduv üldmäärus ning uus IKS, millega täpsustatakse ja täiendatakse üldmääruse küsimusi ulatuses, milles liikmesriikidele on see õigus antud. Direktiiviga 2016/680 tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK. Direktiivi ülevõtmise kohta on seletuskirja lisana lisatud võrdlustabel. 6. Seaduse mõjud Vastavalt hea õigusloome ja normitehnika eeskirjale tuleb seletuskirjas anda ülevaade seaduse jõustumisega kaasnevatest mõjudest. Andmekaitsereformi kontekstis tuleneb aga suur osa muudatustest – ja seega ka mõjudest – Euroopa Parlamendi ja nõukogu otsekohalduvast määrusest, mille puhul ei ole formaalset kohustust riigisiseseks mõjude hindamiseks24. Paraku ei ole eelnõust ja määrusest tulenevate mõjude üksteisest eristamine võimalik ega ka otstarbekas. Sestap on mõjuanalüüsis valitud lähenemine, et kirjeldada andmekaitsereformi mõjusid tervikuna, pöörates mõnevõrra suuremat rõhku muudatustele, mille osas on määrus liikmesriikidele otsustusruumi jätnud või mis on olemuselt ulatuslikuma mõjuga. Arvestades muudatuste hulka, ei pruugi mõjuanalüüsis olla kajastatud ka väga vähese mõjuga muudatused. 6.1. Andmesubjekti õigusi ja isikuandmete töötlemise lubatavust puudutavad muudatused Võrreldes praegu kehtiva IKS-iga sätestab üldmäärus oluliselt detailsemalt andmesubjekti õigused ning vastutava ja volitatud töötleja kohustused. Lisaks tuleneb määrusest täiendavaid kohustusi, mida kehtiv seadus ei reguleeri. Järgnevalt on antud ülevaade peamistest sisulistest muudatustest, mis puudutavad andmesubjekti õigusi ja isikuandmete töötlemise lubatavust: a) Täpsustatakse isikuandmete töötlemise seaduslikkuse aluseid. Muu hulgas sätestatakse seadusliku alusena ka vastutava töötleja või kolmanda isiku õigustatud huvi, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused (art 6 lg 1 p f). Lisaks sätestab eelnõu ka isikuandmete töötlemise erialused: töötlemine ajakirjanduslikel eesmärkidel, teadusuuringu või riikliku statistika vajadusteks, avalikes huvides toimuva arhiveerimise eesmärgil ning akadeemilise, kunstilise või 24 Euroopa Komisjoni poolt koostatud esialgne mõjuanalüüs (ei sisalda hiljem EL-i nõukogu töörühmas tehtud muudatusi): http://ec.europa.eu/justice/data-protection/document/review2012/sec_2012_72_en.pdf (25.10.2017) 46  kirjandusliku eneseväljenduse tarbeks. Nimetatud erialustest esimesed kaks on samasugusel kujul ka kehtivas seaduses. b) Isikuandmete töötlemise põhimõttena sätestatakse piirang isikuandmete säilitamisele. Kuigi iseenesest ei ole tegemist uue piiranguga (kehtiva IKS § 24 kohaselt on isikuandmete töötleja kohustatud eesmärkide saavutamiseks mittevajalikud isikuandmed viivitamata kustutama või sulgema, kui seadus ei näe ette teisiti), siis suunab üldmäärus hindama andmete säilitamise vajadust juba töötlemise algusfaasis. Näiteks tuleb säilitamise ajavahemik või selle kriteeriumid määrata juba isikuandmete kogumise ajal (art 13 lg 2 p a), samuti isikuandmete töötlemise toimingute registreerimisel, kui see on võimalik (art 30). Selle kohustuse täitmine on senises praktikas olnud problemaatiline. c) Reguleeritakse isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmed on kogutud. Artikli 6 lõige 4 sätestab tingimused, mida peab isikuandmete töötleja arvesse võtma, et teha kindlaks, kas edasine töötlemine on kooskõlas esialgse eesmärgiga. Kehtivas IKS-is ei ole edasine töötlemine selgelt reguleeritud. d) Täiendatakse nõudeid teabele, mis andmetöötleja peab esitama andmesubjektile isikuandmete saamisel. Kehtiv seadus sätestab, et teave tuleb esitada andmesubjektilt nõusoleku küsimise ajal või enne seda (IKS § 12 lg-d 1 ja 3), üldmäärus, et isikuandmete saamise ajal (art 13 lg 1). Järgnevalt on toodud kehtiva ja uue regulatsiooni võrdlustabel. Tabel 1. Nõudeid teabele, mis vastutav töötleja peab andma andmesubjektile isikuandmete saamisel Kehtiv regulatsioon (IKS § 12) Uus regulatsioon (artikkel 13)  Isikuandmete töötleja või tema esindaja  Vastutava töötleja ning kui kohaldatav, siis vastutava nimi, töötleja aadress ja kontaktandmed; töötleja esindaja nimi ja kontaktandmed;  andmed, mille töötlemiseks luba antakse;  Asjakohasel juhul andmekaitseametniku kontaktandmed;  töötlemise eesmärk;  isikuandmete töötlemise eesmärk ja õiguslik alus;  isikud, kellele andmete edastamine on  kui isikuandmete töötlemine toimub töötleja õigustatud huvi lubatud; alusel (art 6 lg 1 p f), siis teave vastutava töötleja või  kolmandatele isikutele edastamise kolmanda isiku huvide kohta; tingimused;  asjakohasel juhul teave isikuandmete vastuvõtjate või  andmesubjekti õigused edasise töötlemise vastuvõtjate kategooriate kohta; osas;  asjakohasel juhul teave isikuandmete edastamise kohta  delikaatsete isikuandmete puhul selgitus, kolmandale riigile või rahvusvahelisele organisatsioonile; et tegemist on delikaatsete  isikuandmete säilitamise ajavahemik või selle määramise isikuandmetega. kriteeriumid;  teave andmesubjekti õiguste kohta (õigus taotleda juurdepääsu oma isikuandmetele, õigus nõuda nende parandamist, kustutamist või töötlemise piiramist, õigus esitada vastuväide, õigus andmete ülekandmisele);  teave andmesubjekti õiguse kohta nõusolek igal ajal tagasi võtta (kui töötlemine toimub nõusoleku alusel);  teave õiguse kohta esitada kaebus järelevalveasutusele;  teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev kohustus ning kas andmesubjekt on kohustatud isikuandmeid esitama;  teave automatiseeritud otsuste, sh profiilianalüüsi tegemise kohta. 47  Täienevad ka nõuded teabele, mis tuleb esitada juhul, kui andmed ei ole saadud andmesubjektilt (IKS § 15 vs. artikkel 14). e) Kehtestatakse vanuseline alampiir, mille puhul on lapse nõusolek isikuandmete töötlemiseks infoühiskonna teenuste pakkumisel seaduslik (14 eluaastat). Kui laps on noorem kui 14-aastane, on töötlemine seaduslik üksnes sellisel juhul ja sellises ulatuses, milleks on nõusoleku andnud lapse seaduslik esindaja. Vastutav töötleja peab tegema mõistlikud pingutused, et kontrollida, et nõusoleku on andnud lapse seaduslik esindaja. f) Sätestatakse asjaolud, mille puhul on isikuandmete eriliikide (siiani delikaatsete isikuandmete) töötlemine lubatud (artikkel 9). Kehtivas IKS-is sellised tingimused puuduvad. Tulenevalt liikmesriikidele jäetud otsustusõigusest sätestatakse täiendavad alused eriliiki isikuandmete töötlemiseks ka eelnõu §-s 7. Eelduslikult ei kaasne muudatusega praktikas märkimisväärset mõju. g) Piiratakse isikute ringi, kellel on õigus pärast andmesubjekti surma anda luba andmesubjekti isikuandmete töötlemiseks. Praegu on see õigus andmesubjekti pärijal, abikaasal, alanejal või ülenejal sugulasel, õel või vennal, edaspidi üksnes andmesubjekti füüsilisest isikust pärijal. h) Säilib andmesubjekti õigus saada teavet enda isikuandmete töötlemise kohta. Uus regulatsioon täiendab loetelu teabest, mis tuleb vastutaval töötajal teatavaks teha: Tabel 2. Andmesubjekti õigus tutvuda andmetega – nõuded teabele, mis vastutav töötleja peab esitama andmesubjektile andmesubjekti soovil Kehtiv regulatsioon (IKS § 19 lg 1) Uus regulatsioon (artikkel 15)  Andmesubjekti kohta käivad isikuandmed;  Töötlemise eesmärk;  isikuandmete töötlemise eesmärgid; Asjaomaste isikuandmete liigid;  isikuandmete koosseis ja allikad; Vastuvõtjad või vastuvõtjate kategooriad, kellele  kolmandad isikud või nende kategooriad, isikuandmed on avalikustatud või avalikustatakse, eelkõige kellele isikuandmete edastamine on kolmandates riikides olevad vastuvõtjad või lubatud; rahvusvahelised organisatsioonid;  kolmandad isikud, kellele isikuandmed on  Kavandatav isikuandmete säilitamise ajavahemik või selle edastatud; määramise kriteeriumid;  isikuandmete töötleja või tema esindaja Teave õiguse kohta taotleda isikuandmete parandamist, nimi ning isikuandmete töötleja aadress ja kustutamist või piiramist või esitada vastuväide sellisele muud kontaktandmed. isikuandmete töötlemisele; Teave õiguse kohta esitada kaebus järelevalveasutusele (AKI-le);  Teave automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta;  Kui isikuandmed edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, siis teave kehtestatavatest kaitsemeetmetest. i) Täiesti uue nõudena sätestatakse andmesubjekti õigus andmete ülekandmisele ühe vastutava töötleja juurest teise juurde. Ülekandmise õigus kohaldub, kui töötlemine põhineb andmesubjekti nõusolekul, lepingu täitmisel või kui andmeid töödeldakse automatiseeritult (vt täpsemalt artikkel 20). Kui see on tehniliselt teostatav, võib andmesubjekt nõuda, et vastutav töötleja edastab andmed otse teisele vastutavale töötlejale. Muudatusega võib kaasneda mõningane halduskoormuse suurenemise erasektori isikuandmete töötlejatele. 48  j) Sätestatakse selgelt andmesubjekti õigus esitada vastuväide teda puudutavate isikuandmete töötlemisele, mis toimub avalikes huvides oleva ülesande täitmiseks, avaliku võimu teostamiseks või vastutava töötleja või kolmanda isiku õigustatud huvi alusel. Kui vastuväide esitatakse otseturunduse eesmärgil toimuva töötlemise suhtes, siis ei tohi isikuandmeid sellisel eesmärgil enam töödelda. Sihtrühm I – andmesubjektid Andmekaitsereform puudutab suuremal või vähemal määral kõiki andmesubjekte ehk kõiki Eestis elavaid inimesi. 1. jaanuari 2017 seisuga on sihtrühma suuruseks seega 1 315 635 inimest. Andmekaitse üldmääruse ja direktiivi 2016/680 sihtrühmaks on Euroopa tasandil üle 510 miljoni inimese.25 Andmesubjektidele kaasneb muudatustega positiivne sotsiaalne mõju tõhusama isikuandmete kaitse kaudu. Suureneb informatsiooni hulk, mis andmesubjektile tuleb kättesaadavaks teha nii andmete saamisel kui ka hiljem andmesubjekti soovil, paraneb andmesubjekti võimalus kontrollida, kuidas ja kelle poolt tema isikuandmeid töödeldakse ja kellele edastatakse, ning esitada töötlemise suhtes vastuväiteid. Täiesti uue õigusena sätestatakse õigus andmete ülekandmisele ühe töötleja juurest teise juurde, mis füüsiliste isikute jaoks võib lihtsustada näiteks teenusepakkuja vahetust (telekommunikatsiooniteenused, kommunaalteenused jm). Üldmääruses rõhutatakse korduvalt põhimõtet, et andmesubjekti tuleb informeerida selges ja lihtsas keeles – see puudutab näiteks töötlemiseks nõusoleku küsimist, teabe esitamist ning andmesubjekti teavitamist rikkumise toimumisest. Ei ole võimalik hinnata, kui palju on andmesubjektid seni oma õigusi seoses isikuandmete töötlemisega kasutanud ega kui palju hakatakse seda tegema pärast eelnõu ja üldmääruse jõustumist. Rolli mängivad siinkohal näiteks elanikkonna teadlikkus uuest regulatsioonist ning üldine usaldus avaliku ja erasektori vastu. Uueks muudatuseks on alampiiri kehtestamine lapse vanusele, mille puhul on lapse nõusolek isikuandmete töötlemiseks infoühiskonna teenuste pakkumisel seaduslik. Eestis on kavas kehtestada alampiiriks 14 eluaastat26. Kuigi andmekaitsereformiga ei kaasne andmesubjektidele üldjuhul mingeid kohustusi ega täiendavat halduskoormust, siis edaspidi suureneb lastevanemate vastutus lapse isikuandmete töötlemisel internetikeskkonnas (võib hõlmata kasutajaprofiili loomist, isikuandmete kogumist, otseturundust). Sõltuvalt teenusepakkujast võib see tähendada ka täiendavaid tegevusi vanemliku vastutuse tõendamiseks. Positiivne mõju seisneb lapse isikuandmete kuritarvitamise võimaluste vähenemises internetikeskkonnas, mis lisaks kuritegelikule tegevusele hõlmab ka sotsiaalseid probleeme (nt libakontod, veebikiusamine). Statistikaameti andmetel elas 1. jaanuari 2017 seisuga Eestis 201 191 alla 14-aastast last. Andmesubjekti õigusi puudutavate muudatuste sihtrühm on suur (100% elanikkonnast) ning ka mõjude esinemise sagedus tõenäoliselt suur – isikuandmeid töödeldakse paljudes 25 Elanikkonna andmed Eesti Statistikaameti ja Eurostati andmebaasidest. 26 Lapse nõusolekut isikuandmete töötlemiseks, sh liikmesriikide senist praktikat, on analüüsinud Macenaite ja Kosta (2017): http://www.tandfonline.com/doi/full/10.1080/13600834.2017.1321096 (02.11.2017). 49 erinevates valdkondades nii avalikus kui erasektoris. Mõju ulatus on enamikel juhtudel pigem väike. Andmekaitsereformiga kaasnevat mõju andmesubjektidele võib tervikuna hinnata oluliseks (HÕNTE § 46 tähenduses). Sihtrühm II – isikuandmete töötlejad Isikuandmete töötlejad võivad olla füüsilised või juriidilised isikud, avaliku sektori asutused või muud organid. Võib eeldada, et isikuandmeid töötleb enamik ettevõtjatest (kui mitte põhitegevuse raames, siis seoses tööõigusega või turunduslikel eesmärkidel), samuti valitsusasutused, kohalikud omavalitsused ja nende asutused, muud riigiasutused, avalik- õiguslikud juriidilised isikud ning kolmanda sektori vabaühendused. Seega on sihtrühm väga suur. Statistikaameti andmetel oli 2016. aasta lõpus Eestis ligi 160 000 majanduslikult aktiivset majandusüksust. Võttes aluseks majandusüksuste institutsionaalsete sektorite klassifikaatori, siis valitsemissektorisse kuuluvaid asutusi ja avaliku sektori osalusega ettevõtteid oli nende hulgas 312527. Majanduslikult aktiivseid ettevõtteid tegutseb Eestis üle 120 000 ning mittetulundusühinguid ja sihtasutusi ligi 32 00028 – suurt osa neist mõjutavad andmekaitsereformiga kaasnevad muudatused. Tabel 3. Valitsemissektori asutused ja ettevõtted põhitegevusalade lõikes 2016. aastal Asutuste EMTAK Tegevusala % arv Valitsemissektor P85 Haridus 1223 39% Raamatukogude, arhiivide, muuseumide ja muude kultuuriasutuste R91 511 16% tegevus O84 Avalik haldus ja riigikaitse, kohustuslik sotsiaalkindlustus 456 15% R93 Sporditegevus ning lõbustus- ja vaba aja tegevused 325 10% Q87 Hoolekandeasutuste tegevus 113 4% Q88 Sotsiaalhoolekanne majutuseta 67 2% D35 Elektrienergia, gaasi, auru ja konditsioneeritud õhuga varustamine 63 2% E36 Veekogumine, -töötlus ja -varustus 51 2% Q86 Tervishoid 49 2% L68 Kinnisvaraalane tegevus 47 2% M71 Arhitekti- ja inseneritegevused 25 1% M72 Teadus- ja arendustegevus 22 1% R90 Loome-, kunsti- ja meelelahutustegevus 22 1% M70 Peakontorite tegevus, juhtimisalane nõustamine 15 0% H52 Laondus ja veondust abistavad tegevusalad 13 0% Jäätmekogumine, -töötlus ja -kõrvaldus, materjalide taaskasutusele E38 12 0% võtmine Muud tegevusalad 111 4% Ettevõtted G Hulgi- ja jaekaubandus, mootorsõidukite ja mootorrataste remont 21 625 18% M Kutse-, teadus- ja tehnikaalane tegevus 16 334 14% 27 Arvestatud on valitsemissektori asutusi (klassifikaatorid S1311-S1314) ja avaliku sektori mittefinantsettevõtteid (S11001), arvestatud ei ole registrist kustutatud üksuseid. Andmed statistikaameti kodulehelt: http://www.stat.ee/majandusuksuste-klassifitseerimise-abiinfo (seisuga 09.11.2017). 28 Andmed statistikaameti andmebaasist (majandus – majandusüksused) seisuga 09.11.2017. 50  A Põllumajandus, metsamajandus ja kalapüük 12 041 10% F Ehitus 11 848 10% C Töötlev tööstus 8811 7% H Veondus ja laondus 8470 7% L Kinnisvaraalane tegevus 7446 6% S Muud teenindavad tegevused 7123 6% J Info ja side 6448 5% N Haldus- ja abitegevused 6054 5% Muud tegevusalad 14 250 12% Andmesubjekti õigusi puudutavad muudatused – erinevalt vastutava töötleja kohustusi puudutavatest muudatustest (vt alapunkt 6.2.) – on andmetöötlejatele eelkõige töökorraldusliku mõjuga (teabe esitamise kohustus, lapsevanema nõusoleku küsimine, edasise töötlemise lubatavus, andmete ülekandmine), kuid teatud juhtudel kaasneb ka otsene rahaline mõju. Kulud võivad kaasneda näiteks seoses infosüsteemide arendamisega, et tagada isikuandmete säilitamine vaid piiratud ajavahemikus, või andmete ülekandmiseks vajalike arendustega. Puudub täpne ülevaade, kui paljusid riigi, kohaliku omavalitsuste või avalikke ülesandeid täitvate eraõiguslike isikute andmekogude infosüsteeme tuleb andmekaitsereformi valguses muuta ning millises ulatuses. Vajaduse üle otsustab andmekogu vastutav töötleja. Riigi infosüsteemi haldussüsteemis RIHA on praegu registreeritud üle 1500 infosüsteemi ja andmekogu. Üksnes erasektoris kasutuses olevaid infosüsteeme isikuandmete töötlemiseks on kindlasti rohkem. Andmesubjekti õigusi puudutavate muudatuste mõju andmetöötlejatele on keskmise ulatusega – muudatustega kohanemine ei ole liigselt koormav ning ei piira andmetöötlejate põhitegevust ebaproportsionaalselt. Kohanemine uute nõuetega võib olla aja- ja ressursikulukam ettevalmistusperioodil, s.o enne üldmääruse jõustumist, vähenedes aja jooksul. Mõju esinemise sagedus varieerub andmetöötlejate lõikes ning sõltub näiteks sellest, kas andmeid töödeldakse põhitegevuse või toetavate tegevuste raames. Ebasoovitava riskina võib välja tuua ohu, et teatud erandjuhtudel võib andmetöötlejatele kaasneda ebaproportsionaalselt suur koormus, võrreldes andmesubjekti õiguste kaitsest tuleneva kasuga (näiteks isikuandmete ülekandmine ühe vastutava töötleja juurest teise juurde, kui see on tehniliselt teostatav, kuid ressursimahukas). Muudatustega kaasneb halduskoormuse kasv ettevõtjatele ning töökoormuse kasv avaliku sektori asutustele. Sihtrühma suurist arvestades võib muudatuste mõju tervikuna hinnata HÕNTE § 46 mõistes oluliseks. 6.2. Vastutava töötleja kohustusi puudutavad muudatused Vastutava ja volitatud töötleja kohustused on suures osas sätestatud üldmääruse IV peatükis 29. Muudatused on üldjoontes suunatud isikuandmete töötleja kohustuste ja vastutuse suurendamisele, et tagada isikuandmete turvaline ja läbipaistev töötlemine. See toob paratamatult kaasa halduskoormuse suurenemise ja täiendava ressursikulu. Kokkuvõte peamistest vastutava töötleja kohustusi puudutavatest muudatustest: 29 Info olulisemate muudatuste kohta koos rakendamist puudutavate selgitustega on kättesaadav Andmekaitse Inspektsiooni veebilehel: http://www.aki.ee/et/andmekaitse-reform/andmetootleja-kohustused (02.11.2017). 51  a) Võimaldatakse isikuandmete töötlemine kaasvastutavate töötlejate poolt, kes on ühiselt kindlaks määranud isikuandmete töötlemise eesmärgid ja vahendid (artikkel 26). Kaasvastutavad töötlejad peavad määrama vastutusvaldkonnad üldmääruse kohaste kohustuste täitmisel. Muudatusega kaasnev mõju on väike nii isikuandmete töötlejatele kui andmesubjektidele. b) Kuigi tegemist ei ole uue muudatusega, siis rõhutab üldmäärus senisest enam vajadust rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, mis on vajalikud andmekaitsepõhimõtete tõhusaks rakendamiseks ja kaitsemeetmete lõimimiseks isikuandmete töötlemisse (nt võimalikult väheste andmete kogumine, üksnes eesmärgipärane töötlemine). Artiklis 32 tuuakse välja nimekiri võimalikest tehnilistest ja korralduslikest meetmetest, et tagada töötlemise turvalisus: - isikuandmete pseudonümiseerimine ja krüpteerimine; - võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus; - võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral; - tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord. c) Väljaspool Euroopa Liitu asuvale isikuandmete töötlejale, kes töötleb liidus asuvate andmesubjektide isikuandmeid, kehtestatakse kohustus määrata oma esindaja liidus (vt täpsemalt artikkel 27). d) Oluliselt detailsemalt sätestatakse nõuded lepingule või õigusaktile, millega vastutav töötleja volitab isikuandmete töötlemise volitatud töötlejale (vt artikkel 28). e) Isikuandmete töötlejal tuleb edaspidi registreerida tema vastutusel tehtavad isikuandmete töötlemise toimingud ning pidada sellekohast registrit (vt artikkel 30). Kohustust ei kohaldata vähem kui 250 töötajaga ettevõtjale või organisatsioonile, välja arvatud juhul, kui töötlemine kujutab tõenäoliselt ohtu andmesubjekti õigustele või vabadustele, töötlemine ei ole juhtumipõhine või töödeldakse isikuandmete eriliike või süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid. f) Kehtestatakse vastutava töötleja kohustus teavitada Andmekaitse Inspektsiooni isikuandmetega seotud rikkumisest. Teavitada tuleb põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul. Teavitama ei pea, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Teatud juhtudel on kohustus teavitada ka andmesubjekti. g) Edaspidi tuleb enne kõrge riskiga isikuandmete töötlemise alustamist teha andmekaitsealane mõjuhinnang (artikkel 35). Mõjuhinnangu peavad tegema kõik need andmetöötlejad, kelle isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt suur oht füüsilistele isikute õigustele ja vabadustele. AKI hinnangul tehakse kõrge riskiga andmetöötlustoiminguid paljudes eri valdkondades30, mistõttu on muudatusest mõjutatud isikute ring suur. Kui mõjuanalüüs kinnitab suure ohu riski, tuleb enne isikuandmete töötlemist konsulteerida Andmekaitse Inspektsiooniga (artikkel 36). h) Isikuandmete töötleja on tulevikus kohustatud määrama andmekaitsespetsialisti, kui: 30 AKI koostatud loetelu valdkondadest, kus tehakse kõrge riskiga andmetöötlustoiminguid: http://www.aki.ee/et/andmekaitse-reform/mis-andmekaitsealane-mojuhinnang (02.11.2017) 52  - isikuandmeid töötleb avaliku sektori asutus või organ (avaliku võimu kandja); - töötleja põhitegevuse moodustavad isikuandmete töötlemise toimingud, mille laad, ulatus ja/või eesmärk tingivad ulatusliku andmesubjektide korrapärase ja süstemaatilise jälgimise, või - töötleja põhitegevuse moodustab andmete eriliikide ulatuslik töötlemine või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete ulatuslik töötlemine. Muudatus mõjutab suurt hulka isikuandmete töötlejaid ning toob enamiku jaoks kaasa täiendava rahalise kulu seoses andmekaitsespetsialisti määramise, koolitamise või teenuse ostmisega. Andmekaitsespetsialist peab olema oma ülesannete täitmisel vaba ning alluma kõrgeimale juhtimistasandile, andmetöötleja peab tagama huvide konflikti vältimise. i) Kaovad ära kohustused registreerida delikaatsete isikuandmete töötlemine ning määrata isikuandmete kaitse eest vastutav isik (IKS 5. ptk). Viimast hakkab sisuliselt asendama andmekaitsespetsialisti ametikoht. j) Artikkel 40 sätestab võimaluse, et andmetöötlejaid esindavad ühendused võivad koostada toimimisjuhendeid, mis täpsustavad näiteks isikuandmete õiglast ja läbipaistvat töötlemist, isikuandmete kogumist, pseudonümiseerimist, teavitamist jm aspekte. Akrediteeritud asutus võib teostada järelevalvet, et toimimisjuhendi täitmise kohustuse võtnud andmetöötleja seda ka täidab. k) Kehtestatakse regulatsioon andmekaitsealase sertifitseerimise võimaldamiseks. Sertifitseerimine on vastutavatele ja volitaud töötlejatele vabatahtlik, kuid aitab suurendada isikuandmete töötlemise läbipaistvust, tõendada üldmääruse nõuete järgimist ning annab signaali andmesubjektile, et tema isikuandmeid töödeldakse turvaliselt. Sertifikaadi saab väljastada sertifitseerimisasutus, mille on akrediteerinud Andmekaitse Inspektsioon . l) Senisest detailsemalt sätestatakse tingimused, mille korral võib isikuandmeid edastada kolmandatele riikidele või rahvusvahelistele organisatsioonidele. Võrreldes kehtiva regulatsiooniga (IKS § 18) suureneb mõnevõrra vastutava või volitatud töötleja vastutus veendumaks ja tõendamaks, et vastuvõtja töötleb isikuandmeid turvaliselt. Muudatuse mõju andmetöötlejatele on peamiselt töökorralduslik, andmete edastamist kolmandatele riikidele ei piirata senisest suuremas ulatuses, kuid tuleb selgemalt tõendada kaitse piisavus. Sihtrühm I – isikuandmete töötlejad Nagu punktis 6.1. selgitatud, siis isikuandmete töötlejate sihtrühm on tervikuna suur – Eestis on ligi 160 000 majanduslikult aktiivset majandusüksust, kellest enamikku mõjutavad isikuandmete töötleja kohustusi puudutavad muudatused. Mõju on tõenäoliselt suurem neile, kellel tuleb edaspidi määrata andmekaitsespetsialist, koostada andmekaitsealaseid mõjuhinnanguid või registreerida tema vastutusel tehtavad isikuandmete töötlemise toimingud. Artikkel 37 lg 1 sätestab, et andmekaitsespetsialisti peavad määrama kõik avaliku sektori asutused, välja arvatud õigust mõistvat funktsiooni täitvad kohtud. Käesoleva seaduse § 4 võtab kasutusele avaliku võimu kandja termini, millest tuleks lähtuda ka avaliku sektori asutuse mõiste sisustamisel, sh ka andmekaitsespetsialisti määramise kohustuse 53 kindlakstegemisel. Valitsemissektorisse kuuluvaid asutusi ja avaliku sektori osalusega ettevõtteid on Eestis 3125, kuid lisaks neile laieneb andmekaitsespetsialisti määramise kohustus ka füüsilistele või eraõiguslikele juriidilistele isikutele, kes teostavad avalikku võimu või täidavad avalikke ülesandeid (nt halduslepingu alusel). Avaliku võimu kandjad võivad mitme asutuse või organi jaoks määrata ühe andmekaitsespetsialisti olenevalt nende organisatsioonilisest struktuurist või suurusest (artikkel 37 lg 3). Sellisteks näideteks võib olla kohaliku omavalitsuse juures asuv andmekaitsespetsialist, kes täidab andmekaitsespetsialisti ülesandeid ka kohalikule raamatukogule ja lasteaiale. Erasektorile üldine andmekaitsespetsialisti määramise kohustus ei laiene. Küll aga tekib kohustus siis, kui töötleja põhitegevuse moodustavad isikuandmete töötlemise toimingud, mille laad, ulatus või eesmärk tingivad ulatusliku andmesubjektide korrapärase ja süstemaatilise jälgimise. Andmekaitsespetsialisti kohustus kaasneb ka eriliiki andmete ulatusliku töötlemisega. Kuna tegemist ei ole üheselt defineeritud kriteeriumidega, siis peab selle üle otsustama iga andmetöötleja ise lähtudes Andmekaitse Inspektsiooni ja Euroopa komisjoni juhistest31. Registriandmetele tuginedes saab üldistatult välja tuua äriühingud (tegevusalade kaupa), kellele võib rakenduda andmekaitseametniku määramise kohustus, st nende põhitegevus võib hõlmata andmesubjektide ulatuslikku, korrapärast ja süstemaatilist jälgimist või andmete eriliikide ja süütegudega seotud isikuandmete töötlemist. Tegemist on informeeriva, kuid kindlasti mitte täpse ega ammendava loeteluga (tabel 4). Tabel 4. Äriühingute arv, kelle põhitegevus võib hõlmata isikuandmete ulatuslikku, korrapärast ja süstemaatilist jälgimist32 Põhitegevusala N Hõlmatud EMTAK koodid Kinnisvaraalane tegevus (sh kinnisvarabürood, kinnisvara 6831, 68311, 6832, 68321, 68322, 5043 haldus) 68329 64191, 64301, 6492, 64921, 64929, Finants- ja kindlustustegevus (sh investeerimine, 65111, 65121, 65301, 66111, 6612, laenuandmine, pangad, finantsnõustamine, kindlustus, 3822 66121, 66129, 6619, 66191, 66199, fondide valitsemine jm) 66211, 66221, 66291, 66301 Jaemüük posti või interneti teel 3182 47911 Haldus- ja abitegevused (sh tööhõiveagentuurid, 78101, 78201, 78301, 79111, 79121, 2655 reisibürood, turvatöö, inkassoteenused jm) 80101, 80201, 80301, 82911 86101, 8621, 86211, 86231, 8690, Tervishoid ja sotsiaalhoolekanne (sh üldarstiabi, 86901, 86902, 86903, 86904, 86905, 2412 hambaravi, õendusabi jm) 86906, 86909, 87101, 8720, 87201, 87301, 879, 8790, 87901, 87909 Info ja side (sh andmetöötlus, veebihosting, 58121, 58131, 58141, 6110, 61101, veebiportaalid, telekommunikatsioon, ajakirjade 2407 61109, 6120, 61201, 61209, 61301, kirjastamine jm) 61901, 63111, 63121 Kutse-, teadus- ja tehnikaalane tegevus (sh teadus ja arendus biotehnoloogia vallas, reklaami vahendamine, 1126 72111, 7312, 73121, 73201 turu-uuringud ja küsitlused) Majutus (sh hotellid, motellid, külalistemajad) 584 5510, 55101, 55102, 55103 31 AKI suunised andmekaitsespetsialisti määramise osas: http://www.aki.ee/et/andmekaitse-reform/kes-peavad- maarama-andmekaitsespetsialisti (09.11.2017) 32 Äriregistri andmed majanduslikult aktiivsete äriühingute kohta (st andmed ei sisalda MTÜ-sid, SA-id ja riigi- ja kohaliku omavalitsuse asutuste riiklikusse registrisse kuuluvaid asutusi, 02.02.2017). 54 Allikas: äriregister Vastavalt üldmääruse artikli 37 lõikele 6 võib andmekaitseametnik olla andmetöötleja koosseisuline töötaja või täita ülesandeid teenuslepingu alusel. Üks andmekaitseametnik võib töötada mitme andmetöötleja heaks, samuti võib kontsern määrata ühise andmekaitsespetsialisti, tingimusel et ta on hõlpsasti kättesaadav kõikidest tegevuskohtadest. Huvirühmadega konsulteerimisel on avaldatud arvamust, et andmekaitsespetsialist peab ettevõtet ja selle tööprotsesse väga hästi tundma, mistõttu võiks tegemist olla pigem ettevõttesisese töötajaga. AKI hinnangul vastab andmekaitseametniku ametikohale tänases Eesti seaduses ettenähtud isikuandmete töötlemise eest vastutav isik, keda on seni määratud üle 110033. Tuleb märkida, et andmekaitsespetsialisti määramise kohustus ei ole Euroopa mõistes uus regulatsioon – näiteks Saksamaal töötab juba praegu hinnanguliselt 90% ettevõtete juures andmekaitseametnik. Lähtudes andmekaitsespetsialisti ülesannetest ja kompetentsidest, on huvirühmade hinnangul uue ametikohaga võrreldavaks tegevusalaks auditeerimine. Ühe suurema töövahendusportaali andmetel on audiitori keskmine netokuupalk 1559 eurot34 (palgakulu tööandjale 2642 eurot kuus ja 31 704 eurot aastas). Kulud kaasnevad ka andmekaitsespetsialisti koolitamisega – kõrgkoolide juures pakutavate andmekaitsespetsialisti koolituste hind jääb eelnõu koostamise ajal vahemikku 1400–2400 eurot. Milliseks kujuneb andmekaitsespetsialisti teenuse hind, selgub tõenäoliselt turukonkurentsi olukorras. Täiesti uuteks kohustusteks andmetöötlejatele on ka isikuandmete töötlemise toimingute registreerimine (artikkel 30) ja andmekaitsealase mõjuhinnangu koostamine (artikkel 35). Registreerimise kohustus tekib enam kui 250 töötajaga ettevõtjatele, samuti ettevõtjatele, kelle teostatav töötlemine kujutab tõenäoliselt ohtu andmesubjekti õigustele ja vabadustele, töötlemine ei ole juhtumipõhine või töödeldakse eriliiki isikuandmeid või süütegudega seotud andmeid. Kuigi üle 250 töötajaga ettevõtted moodustavad Eestis kõigest 0,2% ettevõtetest 35, siis teistest tingimustest tulenevalt puudutab nõue tõenäoliselt suuremat hulka andmetöötlejaid (näiteks süstemaatilise andmete töötlemise puhul). Mõjuhinnangu peavad tegema kõik need andmetöötlejad, kelle isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsilistele isikute õigustele ja vabadustele suur oht. Üldmäärus täpsustab juhte, millal mõjuhinnangu tegemine on nõutav ning muu hulgas sätestab järelevalveasutuse (AKI) kohustuse koostada ja avalikustada loetelu andmetöötluse toimingutest, mille suhtes nõuet kohaldatakse. Eelnõu koostaja hinnangul avaldavad isikuandmete töötleja kohustusi puudutavad muudatused sihtrühmale ulatuslikku ja sagedast mõju, paljudel juhtudel läbi otsese rahalise kulu. Kogukulude hindamine nii era- kui avalikule sektorile eeldaks mitmete eelduste püstitamist ning ka siis oleks hinnang väga ligikaudne – mitmete nõuete kohaldamise ja selle ulatuse üle otsustab andmetöötleja ise tulenevalt enda andmetöötluse eripärast. 33 Andmekaitse Inspektsiooni peadirektori ülevaade, lk 10: http://www.aki.ee/sites/www.aki.ee/files/elfinder/article_files/ylevaade_reformist_14102016.pdf . 34 Palgaandmed ametikohtade järgi: http://www.palgad.ee/salaryinfo. Tegemist on valimi põhjal saadud tulemusega, mis ei pruugi olla üldistatav üldkogumile. 35 Statistikaameti andmetel tegutses Eestis 2016. aastal 196 ettevõtet, kus oli 250 või rohkem töötajat. 55 Sihtrühmad II – tulevased andmekaitseametnikud, teenust osutama hakkavad ettevõtted, ülikoolid ja teised koolitajad, sertifitseerimisasutused, andmesubjektid Andmekaitsespetsialist regulatsiooniga tekib tööturul vajadus uue, praegu puuduva, ametikoha järele, mis eeldab ka vastava kvalifikatsiooniga töötajate olemasolu. Turul on tekkinud nii nõudlus kui pakkumine erinevate andmekaitsega seotud koolituste, sh ka andmekaitsespetsialisti koolituste järele. Teenuseid pakuvad näiteks ülikoolid, advokaadibürood ning koolitus- ja konsultatsioonifirmad. Esimesed teenusepakkujad on hakanud pakkuma ka andmekaitseteenuseid, et aidata klientidel üldmääruse jõustumise ajaks enda andmetöötlemine nõuetega kooskõlla viia. Paraku ei ole võimalik täpselt hinnata, kui paljusid ettevõtteid regulatsioon otseselt või kaudselt puudutama hakkab või milline saab olema mõju turuosalistele ja tööjõuturule. Tõendamaks, et andmetöötleja isikuandmete töötlemise toimingud vastavad üldmäärusele, võib akrediteeritud sertifitseerimisasutus, Andmekaitse Inspektsioon või andmekaitsenõukogu väljastada andmetöötlejale sellekohase sertifikaadi. Sertifitseerimine on andmetöötlejatele vabatahtlik, küll aga on liikmesriik kohustatud välja töötama sertifitseerimisasutuste akrediteerimisprotsessi ning julgustama sertifitseerimismehhanismide ja andmekaitsepitserite ja –märgiste kasutuselevõttu. Võimalikeks sertifitseerimisasutusteks võivad tulevikus olla erialaliidud, mis oskaksid arvestada valdkonna ettevõtete andmetöötluse vajaduste ja eripäradega. Riigiportaali www.eesti.ee andmetel tegutseb Eestis 55 erialaliitu36. Sertifitseerimisasutustele antakse akrediteering maksimaalselt viieks aastaks. Andmetöötlejate seisukohast on sertifitseerimisel ja heakskiidetud toimimisjuhendi kasutamisel signaliseeriv efekt – selle kaudu saab tõendada andmesubjektidele (nt klientidele) toodete või teenuste andmekaitse taset ja seega suurendada isikuandmete töötlemisega seotud usaldusväärsust. Teisest küljest saab sertifitseerimisega tõendada üldmääruse erinevate sätete järgimist ja nõuetele vastavust. Andmetöötleja tegevusele saab anda andmekaitse sertifikaadi maksimaalselt kolmeks aastaks. Muudatustel on tervikuna positiivne mõju ka andmesubjektidele – paremini on tagatud nende õigus isikuandmete kaitsele ning isikuandmetega seotud rikkumistele reageerimine. Nõuete efektiivne rakendamine avaliku võimu kandjate poolt suurendab elanike üldist usaldust avalikus sektoris toimuva andmetöötluse vastu. 6.3. Andmekaitse Inspektsiooni tegevusega seotud muudatused Eestis määratakse sõltumatuks järelevalveasutuseks üldmääruse artikli 51 mõistes Andmekaitse Inspektsioon (eelnõu § 53), kes vastutab määruse kohaldamise järelevalve eest, et kaitsta füüsiliste isikute põhiõigusi ja -vabadusi seoses nende isikuandmete töötlemisega ning hõlbustada isikuandmete vaba liikumist liidus. Andmekaitse Inspektsiooni tegevust mõjutab hulk muudatusi: a) Täpsustatakse ja täiendatakse loetelu Andmekaitse Inspektsiooni ülesannetest (vt tabel 5). Lisaks sätestab eelnõu § 58 lg 2 täiendavad pädevused eelnõu raames reguleeritu osas. 36 Erialaliitude loetelu: https://www.eesti.ee/est/kontaktid/erialaliidud_1 (31.01.2017). 56 Tabel 5. Andmekaitse Inspektsiooni ülesanded kehtiva ja uue regulatsiooni valguses Kehtiv regulatsioon (IKS § 33 lg 1) Uus regulatsioon (artikkel 57) Andmekaitse Inspektsioon:  Jälgib määruse kohaldamist ja tagab selle;  suurendab üldist teadlikkust töötlemise ohtudest, normidest,  kontrollib IKS-is sätestatud nõuete kaitsemeetmetest ja õigustest; täitmist;  nõustab parlamenti, valitsust ja teisi institutsioone;  rakendab haldussundi;  edendab andmetöötlejate teadlikkust;  algatab väärteomenetluse ja kohaldab karistust;  annab andmesubjektile teavet tema õiguste kohta;  teeb koostööd välisriikide pädevate  käsitleb ja menetleb andmesubjekti nimel esitatud kaebusi; asutustega;  teeb koostööd teiste järelevalveasutustega;  annab soovituslikke juhiseid;  toimetab uurimisi määruse kohaldamise kohta;  täidab muid seadusest tulenevaid  jälgib suundumusi, mis mõjutavad isikuandmete kaitset ülesandeid. (info- ja sidetehnoloogiad, kaubandustavad);  võtab vastu vastutavat ja volitatud töötlejat omavahel siduva lepingu tüüptingimused ning standardsed andmekaitseklauslid andmete edastamiseks asjakohaste kaitsemeetmete kohaldamisel;  koostab ja avalikustab töötlemise toimingute tüüpide loetelu, mille puhul on andmekaitsealane mõjuhinnang kohustuslik;  eelneva konsulteerimise käigus annab nõu seoses kavandatud isikuandmete töötlemisega;  ergutab toimimisjuhendite koostamist ja kiidab heaks toimimisjuhendite kavandid;  ergutab andmekaitse sertifikaatide kehtestamist ja kiidab heaks sertifitseerimise kriteeriumid;  vaatab korrapäraselt läbi AKI poolt väljastatud sertifikaadid;  koostab ja avaldab toimimisjuhendite järelevalvet teostava asutuse ja sertifitseerimisasutuse akrediteerimise tingimused;  akrediteerib toimimisjuhendite järelevalvet teostavad asutused ja sertifitseerimisasutused;  kinnitab lepinguklauslid või -sätted, millega sätestatakse asjakohased kaitsemeetmed isikuandmete edastamiseks kolmandatesse riikidesse;  kiidab heaks kontsernisisesed eeskirjad;  panustab andmekaitsenõukogu tegevusse;  peab registrit määruse rikkumiste ja võetud meetmete kohta;  täidab mis tahes muid isikuandmete kaitsega seotud ülesandeid. b) Kuna andmekaitsespetsialisti määranud vastutaval või volitatud töötlejal tekib kohustus teavitada sellest järelevalveasutust, siis tuleb AKI-l lisaks tabelis 5 loetletud ülesannetele ka registreerida andmekaitsespetsialistide kontaktandmed. 57  c) AKI-le antakse õigus korraldada andmekaitsespetsialisti teadmiste ja kutseoskuste hindamise eksameid (vähemalt esialgu, vt eelnõu § 56). d) AKI teostab riiklikku ja haldusjärelevalvet isikuandmete töötlemiseks kehtestatud nõuete üle. Täiendatakse loetelu AKI poolt kohaldatavatest riikliku järelevalve erimeetmetest (lisanduvad viibimiskeeld, vallasasja hoiulevõtmine ja hoiulevõetud vallasasja müümine või hävitamine) ning riikliku järelevalve erisusena sätestatakse üldmääruse artiklis 58 loetletud uurimisvolitused. e) Reguleeritakse liikmesriikide järelevalveasutuste omavahelist koostööd, vastastikust abistamist, ja ühisoperatsioone, et tagada määruse ühetaoline ja efektiivne kohaldamine Euroopa Liidus (artiklid 60–62). f) Andmekaitse Inspektsioonile kaasneb kohustus teha koostööd Euroopa Andmekaitsenõukoguga, sh teatud juhtudel saata kinnitamiseks enda otsuste eelnõusid ja muud asjakohast teavet (vt artikkel 64). g) Sunniraha määr, mida võib AKI ettekirjutuse täitmata jätmise korral rakendada, suureneb 9600 eurolt 30 000 euroni. h) Võrreldes kehtiva IKS-iga, suurenevad oluliselt isikuandmete töötlemisega seotud rikkumiste eest määratavad karistused (vt tabel 6). Kehtiva IKS-i kohaselt saab isikuandmete töötlemise nõuete rikkumise eest karistada füüsilist isikut rahatrahviga kuni 1200 eurot ning füüsilist isikut kuni 32 000 eurot. AKI peab tagama, et trahvi määramine oleks tõhus, proportsionaalne ja heidutav. Määrus sätestab konkreetsed aspektid, mida järelevalveasutus peab kaaluma karistuse üle otsustamisel. Tabel 6. Vastutus üldmääruse nõuete rikkumise eest Trahv Trahv juriidilisele Rikkumine Artiklid füüsilisele isikule isikule (eurod) Vastutava või volitatud töötleja kohustuste 8, 11, 25–39, kuni 10 000 000 eurot kuni 10 000 000 rikkumine 42, 43 või kuni 2% aastakäibest kuni 10 000 000 eurot Sertifitseerimise korra rikkumine 42, 43 kuni 10 000 000 või kuni 2% aastakäibest Toimimisjuhendi järgimise üle järelevalve kuni 10 000 000 eurot art 41 lg 4 kuni 10 000 000 teostamise korra rikkumine või kuni 2% aastakäibest Isikuandmete töötlemise põhimõtete kuni 20 000 000 eurot rikkumine, sh andmesubjekti nõusoleku 5– 7, 9 kuni 20 000 000 või kuni 4% aastakäibest andmise korra rikkumine kuni 20 000 000 eurot Andmesubjekti õiguste rikkumine 12–22 kuni 20 000 000 või kuni 4% aastakäibest kuni 20 000 000 eurot Isikuandmete edastamise korra rikkumine 44–49 kuni 20 000 000 või kuni 4% aastakäibest Isikuandmete töötlemise korra rikkumine eelnõu §-d 9– kuni 20 000 000 eurot kuni 20 000 000 eriolukordades 12 või kuni 4% aastakäibest Andmekaitse inspektsiooni korralduse kuni 20 000 000 eurot art 58 lg 2 kuni 20 000 000 täitmata jätmine või 4% aastakäibest Andmekaitse inspektsiooni juurdepääsu kuni 20 000 000 eurot art 58 lg 1 kuni 20 000 000 võimaldamise rikkumine või 4% aastakäibest Sihtrühm I – Andmekaitse Inspektsioon Mõju AKI-le on peamiselt töökorralduslik, kuid tulenevalt suurenevast töökoormusest kasvavad ka kulud. AKI-s töötab praegu 18 ametnikku, sh peadirektor. 58 AKI on hinnanud, et asutuse töökoormus hüppab üles eelkõige uue andmekaitseõiguse rakendamise eel ning sellele järgnevalt. Koormus tuleneb eelkõige selgitus- ja teavitustööst, samuti rikkumisteadete käitlemisest, andmekaitsespetsialistide registreerimisest ning väärteomenetluste läbiviimisest. Töökoormusega toimetulekuks on vähendatud ajutiselt omaalgatusliku järelevalvetöö mahtu (vt tabel 8) ning plaanitakse uuendada infosüsteemi.37 AKI prognoosib enda kuludeks seoses üldmääruse rakendamisega 18 kuu jooksul kokku üle 112 000 euro, mis sisaldab kahe täistöökoormusega ametikoha personalikulusid, majandamiskulusid ja välislähetusi. Tabel 7. Isikuandmete kaitse üldmääruse rakendamise prognoositavad kulud Andmekaitse Inspektsioonile, 20182019 (eurod) 2018 (12 kuud) 2019 (6 kuud) Kokku (18 kuud) Personalikulud 61 013 30 506 91 519 Majandamiskulud 10 840 10 320 21 160 Kokku 71 853 40 826 112 679 AKI on juba praegu enda veebilehel kättesaadavaks teinud suure hulga informatsiooni, mis puudutab uue andmekaitseõigusega kaasnevaid peamisi muudatusi, abistamaks isikuandmete töötlejaid uue regulatsiooniga ettevalmistumisel. Koostatud on juhendmaterjale, mis aitavad andmetöötlejatel hinnata, millised andmekaitsealased kohustused neile rakenduvad, ning AKI ja kõrgkoolide omavahelises koostöös on välja töötatud spetsiaalsed andmekaitsespetsialisti täiendkoolituse programmid. Seega võib praktilist ettevalmistust määruse ja direktiivi jõustumiseks hinnata heaks. Muudatuste mõju AKI-ile kui sihtrühmale on HÕNTE § 46 mõistes oluline: mõju avaldub sageli (igapäevatöö käigus) ning on ulatuslik – kohanemine eeldab suunatud ja planeeritud tegevusi pikema perioodi vältel. Ebasoovitvaks riskiks on töökoormuse kasv oodatust suuremas ulatuses, mille tagajärjel võib halveneda järelevalve või muude ülesannete kvaliteet. Muudatuste mõju mõnevõrra väheneb kohanemisperioodi möödudes. Positiivseks Sihtrühm II – isikuandmete töötlejad Isikuandmete töötled peavad senisest enam koostööd tegema AKI-ga. Näiteks teavitama AKI- it andmekaitsespetsialisti määramisest, teatud juhtudel küsima luba isikuandmete edastamiseks kolmandasse riiki, andma teada isikuandmetega seotud rikkumistest jm. Üheks enim kõneainet pakkunud muudatuseks on aga andmekaitsealaste rikkumiste eest määratavate trahvide suurenemine. Millised mõjud kaasnevad selle muudatusega praktikas, ei ole võimalik ette prognoosida, kuid on tõenäoline, et mõningane suurenemine trahvisummades võrreldes senisega toimub. Siiani on AKI kui kohtuvälise menetleja poolt määratud trahvid olnud suhteliselt väikesed – 2015. aastal määrati väärteotrahv 14 korral, neist suurim trahvisumma oli 160 eurot, väikseim 16 eurot. Algatatud väärteomenetlused puudutasid kohalike omavalitsuste veebilehti (avalikku dokumendiregistrit), meditsiinitöötajaid, kes vaatasid ilma õigusliku aluseta isikute 37 Andmekaitse Inspektsioon on selgitanud uue andmekaitseõiguse rakenduskulusid ja võimalikke riske: http://www.aki.ee/sites/www.aki.ee/files/elfinder/article_files/memo-rakenduskulud.pdf (13.11.2017). 59 terviseandmeid tervise infosüsteemis ning politsei infosüsteemi ja rahvastikuregistri väärkasutamist.38 Arvestades, et uus andmekaitseregulatsioon on senisest oluliselt detailsem ning andmesubjekti õigusi rohkem kaitsev, siis võib suureneda ka rikkumiste arv ning väärteomenetluste hulk. 2016. aastal esitati AKI-le 390 kaebust, vaiet või väärteoteadet (tabel 8). Tabel 8. AKI järelevalvetöö statistika, 2012–201639 2012 2013 2014 2015 2016 Ringkirjad (ilma järelevalvet algatamata) 5 5 Võrdlevad seired 4 4 6 14 9 Kaebused, vaided, väärteoteated (esitatud) 404 550 413 446 390 Omaalgatuslikud järelevalveasjad (algatatud) 191 171 152 384 86 Kontrollkäigud (järelevalves) 23 15 48 35 33 Soovitused ja ettepanekud (järelevalves) 299 56 Ettekirjutused (reeglina eelneb ettepanek; reeglina sisaldab 187 120 86 77 59 sunniraha hoiatust) Väärteoasjad (lõpetatud) 43 29 11 16 16 Määratud trahvid ja rakendatud sunniraha 39 22 8 15 16 Muudatuste mõju isikuandmete töötlejatele on enamasti vähese ulatusega, st kohanemine on kerge ja ei vaja spetsiaalseid ümberkorraldusi. Erandiks võivad olla olukorrad, kus rikkumise menetlemiseks algatatakse väärteomenetlus, millega võib kaasneda senisest oluliselt suurem trahv (ulatuslik rahaline mõju). Andmetöötlejatel, kes määravad andmekaitsespetsialisti, on andmekaitsespetsialist esmaseks ja peamiseks kontaktpunktiks suhtlemisel AKI-ga. 6.4. Mõju õiguskaitseasutustele Muudest andmetöötlejatest eraldi käsitletakse andmekaitsereformi mõju õiguskaitseasutustele, kuna isikuandmete töötlemist süütegude tõkestamisel, avastamisel, menetlemisel ja karistuste täideviimisel reguleerib kavandatava eelnõu kolmas peatükk, mitte üldmäärus. Eelnõu kolmanda peatükiga võetakse üle direktiiv 2016/680. Tuleb rõhutada, et eelnõu kolmas peatükk kohaldub isikuandmete töötlemisele õiguskaitseasutustes alates väärteomenetluse alustamisest. Olulisemad muudatused võrreldes praegu süütegude menetlemisele kehtiva regulatsiooniga on järgmised: a) Isikuandmete säilitamise tähtaja kehtestamine. Isikuandmeid tohib isikustatud kujul säilitada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks andmed koguti. b) Isikuandmete eri kategooriate eristamine ning hinnangutel põhinevate isikuandmete eristamine. c) Sätestatakse andmesubjekti õigus teabele (kättesaadavaks tehtav teave, teavitamisel antav teave, andmesubjekti nõudmisel esitatav teave) ning õigus isikuandmete 38 AKI ülevaade „Avaliku teabe seaduse ja isikuandmete kaitse seaduse täitmisest 2015. aastal“ http://www.aki.ee/sites/www.aki.ee/files/elfinder/article_files/AASTARAAMAT.pdf (14.11.2017) 39 Andmed Andmekaitse Inspektsiooni veebilehelt: http://www.aki.ee/et/inspektsioon/statistika (14.11.2017) 60  parandamisele ja kustutamisele. Võrreldes üldmäärusega on jäetud rohkem ruumi nende õiguste piiramiseks tulenevalt valdkonna eripärast. d) Andmetöötleja kohustus lõimitud ja vaikimisi andmekaitseks. e) Sätestatakse sõnaselgelt, milliste isikuandmete töötlemise toimingute kohta tuleb pidada logisid. f) Isikuandmete töötlemise toimingute registreerimine. g) Andmekaitselise mõjuhinnangu kohustus ja eelnev konsulteerimine AKI-ga. h) Andmekaitsespetsialisti määramise kohustus kõigile õiguskaitseasutustele. i) AKI ja andmesubjekti teavitamine isikuandmetega seotud rikkumisest. j) Reguleeritakse isikuandmete edastamist kolmandale riigile või rahvusvahelisele organisatsioonile. Teatud juhtudel kaasneb edastamisega kohustus teavitada AKI-t. Eestis tegelevad süütegude menetlemise ja karistuse täitmisele pööramisega järgnevad asutused: - Andmekaitse Inspektsioon - Politsei- ja Piirivalveamet - Finantsinspektsioon - Prokuratuur - I ja II astme kohtud - Põllumajandusamet - Justiitsministeerium - Päästeamet - Kaitsepolitseiamet - Rahandusministeerium - Kaitseressursside Amet - Ravimiamet - Kaitsevägi - Riigikohus - Keeleinspektsioon - Tarbijakaitseamet - Keskkonnainspektsioon - Tehnilise Järelevalve Amet - kohalikud omavalitsused - Terviseamet - Konkurentsiamet - Tööinspektsioon - Lennuamet - vanglad ja kriminaalhooldusosakonnad - Maanteeamet - Veeteede Amet - Maksu- ja Tolliamet - Veterinaar- ja Toiduamet - Muinsuskaitseamet Direktiivi kohaldamise tulemusel muutub süütegudega seotud isikuandmete töötlemine senisest mõnevõrra rangemaks. Kuna töötlemine toimub üldjuhul elektrooniliselt, siis tuleb seaduse rakendamisel erilist tähelepanu pöörata infosüsteemide arendamisele. See puudutab näiteks isikuandmete kustutamist säilitustähtaja saabudes (eelnõu § 20 lg 3), andmesubjektide eri kategooriate eristamist (eelnõu § 21) ning logide pidamise kohustust (eelnõu § 38). Muudatustega võib kaasneda vähemalt järgmiste infosüsteemide arendamise vajadus:  kriminaalmenetluse register;  vangiregister;  kinnipeetavate isikute register;  väärteomenetluse portaal/E-toimiku väärteomenetluse liides;  kohtuekspertiisi infosüsteem;  jälitustoimingute infosüsteem. Direktiivi ülevõtmisega kaasneb sihtrühmale peamiselt töökorralduslikku laadi mõju. Otsene rahaline mõju kaasneb infotehnoloogiliste lahenduste arendamisega ning seoses andmekaitsespetsialisti regulatsiooniga (palga- ja koolituskulud, atesteerimine). Rahalist 61 kulu püütakse hinnata täpsemalt eelnõu edasise väljatöötamise käigus. Muudatuste mõju on sihtrühmale keskmise ulatusega, kuid sage ning HÕNTE § 46 mõistes oluline. 62 7. Rakendamisega seotud kulud Andmekaitse Inspektsioon on prognoosinud enda täiendavateks kuludeks seoses uue andmekaitseõiguse rakendamisega 112 679 eurot järgneva kahe aasta jooksul. Kui ilmneb, et inspektsiooni töökoormuse kasv on püsiv, siis tõenäoliselt kasvavad asutuse kulud ka järgnevatel aastatel. Teiseks oluliseks rakendamisega seotud kuluks on andmekaitsespetsialisti regulatsiooniga kaasnevad kulud. Suurest määramatusest tulenevalt ei ole võimalik kogukulu usaldusväärselt hinnata – avaliku võimu kandjad võivad mitme asutuse peale määrata ühise andmekaitsespetsialisti, samuti võivad kõik andmetöötlejad teenust sisse osta või määrata andmekaitsespetsialistiks juba olemasoleva töötaja või üksuse. Oluliseks kuluks andmetöötlejatele on ka koolituskulud, olenemata sellest, kas andmekaitsespetsialist määratakse või mitte. Kolmas kulude aspekt seondub infotehnoloogiliste arenduste vajadusega. Tervikpilti kuludest ei ole võimalik ka siinkohal prognoosida, sest muudatused puudutavad suurt hulka avalikus ja erasektoris kasutusel olevatest andmekogudest ja infosüsteemidest. 8. Rakendusaktid Käesoleva seadusega nähakse ette volitusnorm eelnõu § 42 lõikes 6, mille kohaselt kehtestab valdkonna eest vastutav minister määrusega loetelu isikuandmete töötlemise toimingutest, mille puhul on eelnev konsulteerimine kohustuslik. 9. Seaduse jõustumine Seadus jõustub määrusega ühel ajal ehk 25. mail 2018. 10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon. Eelnõu saadetakse kooskõlastamiseks ministeeriumidele ja arvamuse avaldamiseks järgmistele asutustele ja organisatsioonidele: 1) Õiguskantsleri Kantselei; 2) Riigikohus; 3) Andmekaitse Inspektsioon; 4) Tarbijakaitseamet; 5) Eesti Linnade Liit; 6) Eesti Maaomavalitsuste Liit; 7) MTÜ Lastekaitse Liit; 8) SA Kutsekoda; 9) Pangaliit; 10) Tartu Ülikooli õigusteaduskond; 11) Tallinna Tehnikaülikooli õiguse instituut; 12) Tallinna Ülikooli õigusakadeemia; 13) Eesti Infotehnoloogia ja Telekommunikatsiooni Liit; 14) Eesti E-Kaubanduse Liit; 15) Eesti Haiglate Liit; 16) Eesti Kaupmeeste Liit; 17) Eesti Kindlustusseltside Liit; 18) Eesti Turvaettevõtete Liit; 63 19) Eesti Ajakirjanike Liit; 20) Riigiprokuratuur; 21) Registrite ja Infosüsteemide Keskus; 22) Politsei ja Piirivalveamet; 23) Eesti Kohtuekspertiisi Instituut; 24) Eesti Advokatuur. Algatab Vabariigi Valitsus 64  Isikuandmete kaitse seaduse eelnõu seletuskirja juurde LISA 1 Euroopa Parlamendi ja nõukogu direktiiv 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK, võrdlustabel EL-i õigusakti norm EL-i EL-i õigusakti normi sisuliseks rakendamiseks kehtestatavad Kommentaarid õigusakti riigisisesed õigusaktid normi ülevõtmise kohustus Artikkel, lõige, punkt Jah, ei, valikuline Artikkel 1 Ei - Direktiivi sisu kirjeldav Reguleerimisese ja eesmärk säte, mis ei vaja siseriiklikult reguleerimist. Artikkel 2 Ei - Üldsäte direktiivi Kohaldamisala kohaldamisala kohta, mis ei vaja siseriiklikult reguleerimist. Artikkel 3 Jah IKS § 18. Terminid Mõisted Käesolevas peatükis kohaldatakse lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 4 sätestatule järgmisi termineid: 1) eriliiki isikuandmed – käesoleva peatüki tähenduses isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated,  usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta; 2) õiguskaitseasutus – käesoleva peatüki tähenduses asutus, kes on pädev seaduse alusel süütegusid tõkestama, avastama, menetlema või karistusi täide viima. Artikkel 4 Jah IKS § 19. Isikuandmete töötlemise põhimõtted Isikuandmete töötlemise Isikuandmete töötlemisel tuleb järgida järgmisi põhimõtteid: põhimõtted 1) seaduslikkus ja õiglus – isikuandmeid töödeldakse seaduslikult ja 1. Liikmesriigid näevad ette õiglaselt; järgmist: 2) eesmärgikohasus – isikuandmeid kogutakse täpselt ja selgelt a) isikuandmeid töödeldakse seaduslikult ja õiglaselt; kindlaksmääratud õiguspärastel eesmärkidel ning neid ei töödelda b) isikuandmeid kogutakse viisil, mis on nende eesmärkidega vastuolus; täpselt ja selgelt 3) kvaliteet – isikuandmed peavad olema piisavad ja asjakohased kindlaksmääratud ning ning ei tohi olla ülemäärased andmetöötluse eesmärkide suhtes; õiguspärastel eesmärkidel ning 4) õigsus – isikuandmed peavad olema õiged ja vajaduse korral neid ei töödelda viisil, mis on ajakohastatud; mõistlike meetmetega tagatakse, et andmetöötluse nende eesmärkidega vastuolus; eesmärgi seisukohast ebaõiged isikuandmed kustutatakse või c) isikuandmed on piisavad ja asjakohased ega ole liiased parandatakse viivitamata; nende töötlemise eesmärkide 5) säilitamine – isikuandmeid säilitatakse kujul, mis võimaldab suhtes; andmesubjekti tuvastada üksnes seni, kuni see on vajalik selle d) isikuandmed on õiged ja eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; vajaduse korral ajakohastatud; 6) turvalisus – isikuandmeid töödeldakse viisil, mis tagab nende võetakse kõik mõistlikud turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest meetmed tagamaks, et ning juhusliku kadumise, hävimise või kahjustumise eest, rakendades töötlemise eesmärgi seisukohast ebaõiged asjakohaseid tehnilisi või korralduslikke meetmeid. 2 isikuandmed kustutatakse või parandatakse viivitamata; e) isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; f) isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kadumise, hävimise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. 2.Isikuandmete töötlemine Jah IKS § 6. Isikuandmete töötlemine muul eesmärgil sama või muu vastutava (1) Muul eesmärgil võrreldes sellega, mille jaoks isikuandmed algselt töötleja poolt muul artikli 1 lõikes 1 sätestatud eesmärgil on kogutud, võib avaliku võimu kandja töödelda neid üksnes seaduse kui eesmärk, milleks alusel, kui andmete edasine töötlemine on vajalik: isikuandmeid kogutakse, on 1) avalikku korda ähvardava ohu väljaselgitamiseks ja tõrjumiseks lubatud niivõrd, kuivõrd: või korrarikkumise kõrvaldamiseks; a) vastutav töötleja on volitatud 2) süütegude tõkestamiseks, avastamiseks, menetlemiseks või töötlema selliseid isikuandmeid karistuste täideviimiseks või sellisel eesmärgil kooskõlas liidu või liikmesriigi õigusega 3) andmesubjekti ilmselgelt esinevate huvide kaitseks ning puudub 3 ning alus arvata, et andmesubjekt keelduks muul eesmärgil töötlemiseks b) isikuandmete töötlemine on nõusoleku andmisest. vajalik ja proportsionaalne kõnealuse muu eesmärgiga, (2) Isikuandmete töötlemisel muul eesmärgil teavitab vastutav nagu on ette nähtud liidu või liikmesriigi õiguses. töötleja andmesubjekti kõnealusest muust eesmärgist ja tema õigustest, sealhulgas õigusest esitada vastuväiteid, välja arvatud juhul, kui see takistab käesoleva paragrahvi lõikes 1 nimetatud eesmärkide saavutamist. 3.Isikuandmete töötlemine Jah IKS § 11. Isikuandmete töötlemine teadusuuringu ja riikliku sama või muu vastutava statistika vajadusteks töötleja poolt võib hõlmata avalikes huvides arhiveerimist või teaduslikku, statistilist või ajaloolist kasutamist artikli 1 lõikes 1 sätestatud eesmärkidel, kui andmesubjekti õiguste ja vabaduste suhtes kohaldatakse asjakohaseid kaitsemeetmeid. 4.Vastutav töötleja vastutab Jah IKS § 32. Vastutav ja volitatud töötleja lõigete 1, 2 ja 3 täitmise eest ja on võimeline nende täitmist (1) Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke tõendama. meetmeid, et tagada käesoleva seaduse nõuete täitmine isikuandmete töötlemisel. Vastutav töötleja on kohustatud vajaduse korral tõendama käesolevas seaduses sätestatud nõuete täitmist. Artikkel 5 Jah IKS § 21. Isikuandmete säilitamine Säilitamise ja läbivaatamise tähtajad (1) Vastutav töötleja on kohustatud kehtestama töödeldavate Liikmesriigid näevad ette isikuandmete säilitamise tähtaja. asjakohaste tähtaegade 4 kehtestamise isikuandmete (2) Käesoleva paragrahvi lõike 1 alusel sätestatud säilitamise tähtaega kustutamiseks või nende on lubatud pikendada üksnes põhjendatud juhul. säilitamise vajaduse korrapäraseks läbivaatamiseks. (3) Kui isikuandmete säilitamise tähtaeg lõpeb, on vastutav töötleja Nimetatud tähtaegade kohustatud isikuandmed jäädavalt kustutama. järgimise tagamiseks kehtestatakse menetluslikud meetmed. Artikkel 6 Jah IKS § 22. Andmesubjektide eri kategooriate eristamine Andmesubjektide eri kategooriate eristamine Kui see on võimalik, eristab vastutav töötleja asjakohasel juhul isikuandmete töötlemisel andmesubjektide eri kategooriatena menetlusalused isikud, kahtlustatavad, süüdistatavad, kannatanud ja tunnistajad. Artikkel 7 Jah IKS § 23. Hinnangutel põhinevate isikuandmete eristamine Isikuandmete eristamine ja isikuandmete kvaliteedi Vastutav töötleja eristab võimaluste piires faktidel põhinevad kontrollimine isikuandmed isiklikel hinnangutel põhinevatest isikuandmetest. 1. Liikmesriigid näevad ette, et faktidel põhinevaid isikuandmeid eristatakse nii palju kui võimalik isiklikel hinnangutel põhinevatest isikuandmetest. 2.Liikmesriigid näevad ette, et Jah IKS § 38. Isikuandmete edastamise nõuded pädevad asutused võtavad kõik mõistlikud meetmed tagamaks, (1) Vastutav töötleja on kohustatud võtma ja rakendama asjakohaseid et ebaõigeid, mittetäielikke või meetmeid selleks, et mittetäielikke, ebaõigeid või aegunud aegunud isikuandmeid ei isikuandmeid ei edastata ega tehta kättesaadavaks. edastata ega tehta 5 kättesaadavaks. Sel eesmärgil (2) Vastutav töötleja lisab isikuandmete edastamisel võimaluse korral kontrollivad kõik pädevad vajaliku teabe, mis võimaldab andmeid vastu võtval pädeval asutusel asutused võimaluse korral hinnata isikuandmete õigsust, täielikkust, usaldusväärsust ja isikuandmete kvaliteeti enne ajakohasust. nende edastamist või kättesaadavaks tegemist. Isikuandmete edastamisel lisatakse võimaluse korral vajalik teave, mis võimaldab andmeid vastu võtval pädeval asutusel hinnata isikuandmete õigsust, täielikkust, usaldusväärsuste ja ajakohasust. 3.Kui ilmneb, et edastatud on Jah IKS § 37. Isikuandmete töötlemise nõuded ebaõigeid isikuandmeid või isikuandmeid on edastatud Vastutav ja volitatud töötleja on isikuandmete töötlemisel kohustatud: ebaseaduslikult, teavitatakse 3) teavitama vastuvõtjat, kui isikuandmeid on edastatud sellest viivitamata vastuvõtjat. ebaseaduslikult või edastatud on ebaõigeid isikuandmeid; Sellisel juhul tuleb isikuandmed parandada, kustutada või nende töötlemist piirata kooskõlas artikliga 16. Artikkel 8 Jah IKS § 20. Isikuandmete töötlemise seaduslikkus Isikuandmete töötlemise seaduslikkus Õiguskaitseasutus võib isikuandmeid töödelda seaduse alusel, kui 1.Liikmesriigid näevad ette, et nende töötlemine on vajalik süütegude tõkestamise, avastamise, isikuandmete töötlemine on menetlemise või karistuste täideviimise eesmärgist tuleneva ülesande seaduslik ainult sel juhul ja täitmiseks. niivõrd, kui see on vajalik pädeva asutuse poolt artikli 1 6 lõikes 1 sätestatud eesmärkide kohase ülesande täitmiseks ning see põhineb liidu või liikmesriigi õigusel. 2.Käesoleva direktiivi kohaldamisalasse kuuluvat isikuandmete töötlemist reguleerivas liikmesriigi õiguses täpsustatakse vähemalt isikuandmete töötlemise üldised eesmärgid, töödeldavad isikuandmed ja nende töötlemise konkreetsed eesmärgid. Artikkel 9 ei IKS 2. peatüki 2. jaos on sätestatud isikuandmete Isikuandmete töötlemise töötlemise erialused ning eritingimused sellistel muudel eesmärkidel töötlemisele kohaldatakse 1.Artikli 1 lõikes 1 sätestatud määruses 2016/679 ja selle eesmärkidel pädevate asutuste alusel kehtestatud poolt kogutavaid isikuandmeid õigusaktidest sätestatut. ei tohi töödelda muudel kui artikli 1 lõikes 1 sätestatud eesmärkidel, välja arvatud juhul, kui selline töötlemine on lubatud liidu või liikmesriigi õigusega. Kui isikuandmeid töödeldakse sellistel muudel eesmärkidel, kohaldatakse määrust (EL) 2016/679, välja arvatud juhul, kui 7 isikuandmeid töödeldakse tegevuse käigus, mis ei kuulu liidu õiguse kohaldamisalasse. 2.Kui liikmesriigi õigusega on ei - Direktiivi ja määruse nr pädevatele asutustele antud 2016/679 kohaldamisala muud ülesanded kui need, erinevusi selgitav säte, mis mida täidetakse artikli 1 lõikes ei vaja siseriiklikult 1 sätestatud eesmärkidel, reguleerimist kohaldatakse sellistel eesmärkidel isikuandmete töötlemisele (sealhulgas avalikes huvides arhiveerimise, teadusliku või ajaloolise uurimistöö või statistika tarvis) määrust (EL) 2016/679, välja arvatud juhul, kui isikuandmeid töödeldakse tegevuse käigus, mis ei kuulu liidu õiguse kohaldamisalasse. 3.Liikmesriigid näevad ette, et jah IKS § 38. Isikuandmete edastamise nõuded kui andmeid edastava pädeva asutuse suhtes kohaldatavas (3) Kui isikuandmete töötlemisele kohaldatakse eritingimusi, teavitab liidu või liikmesriigi õiguses vastutav töötleja selliste isikuandmete edastamisel vastuvõtjat on sätestatud isikuandmete kõnealustest tingimustest ja nende järgimise nõudest. töötlemise eritingimused, teavitab isikuandmeid edastav pädev asutus selliste isikuandmete vastuvõtjat kõnealustest tingimustest ja nende järgimise nõudest. 4.Liikmesriigid näevad ette, et jah IKS § 38. Isikuandmete edastamise nõuded 8 isikuandmeid edastav pädev asutus ei kohalda teistes (4) Isikuandmete edastamisel teistele Euroopa Liidus asuvatele liikmesriikides asuvate vastuvõtjatele ning Euroopa Liidu toimimise lepingu V jaotise 4. ja 5. vastuvõtjate ega ELi toimimise peatüki kohaselt loodud asutustele ei kohaldata täiendavaid lepingu V jaotise 4. ja 5. isikuandmete töötlemise eritingimusi võrreldes nendega, mida peatüki kohaselt loodud asutuste ja organite suhtes kohaldatakse isikuandmete edastamisele riigisiseselt. muid lõike 3 kohaseid tingimusi kui need, mida kohaldatakse sarnase isikuandmete edastamise suhtes isikuandmeid edastava pädeva asutuse liikmesriigis. Artikkel 10 Jah IKS § 7. Eriliiki isikuandmete töötlemine Isikuandmete eriliikide töötlemine IKS § 8. Eriliiki isikuandmete töötlemisele kohaldatavad meetmed Artikkel 11 Jah IKS § 24. Automatiseeritud töötlemine Automatiseeritud töötlusel põhinevate üksikotsuste tegemine Artikkel 12 Jah IKS § 30. Andmesubjekti õiguste teostamise kord Teavitamine ja andmesubjekti õiguste teostamise kord Andmesubjektile Jah IKS § 25. Andmesubjektile kättesaadavaks tehtav teave kättesaadavaks tehtud või antud teave (1) Vastutav töötleja on kohustatud avalikustama järgmise teabe: 9 1.Liikmesriigid näevad ette, et 1) isikuandmete töötlemise kavandatud eesmärk; vastutav töötleja teeb 2) isiku poolt enda andmetega tutvumise ning parandamise, andmesubjektile kustutamise või piiramise õigus ja õiguste teostamise kord; kättesaadavaks vähemalt 3) vastutava töötleja ning andmekaitseametniku nimi ja järgmise teabe: a) vastutava töötleja nimi ja kontaktandmed; kontaktandmed; 4) Andmekaitse Inspektsiooni kontaktandmed; b) kui kohaldatav, siis 5) õigus esitada kaebus Andmekaitse Inspektsioonile, kui andmekaitseametniku isikuandmete töötlemisel on rikutud andmesubjekti õigusi. kontaktandmed; c) isikuandmete töötlemise (2) Käesoleva paragrahvi lõikes 1 nimetatud avalikustamisena kavandatud eesmärk; käsitatakse teabe avalikustamist vastutava töötleja veebilehel või d) õigus esitada kaebus järelevalveasutusele ning muul andmesubjektile kergesti juurdepääsetavas asukohas. järelevalveasutuse kontaktandmed; e) õigus taotleda vastutavalt töötlejalt andmesubjekti isikuandmetega tutvumist ning nende parandamist või kustutamist ja isikuandmete töötlemise piiramist. 2.Liikmesriigid näevad oma Jah IKS § 26. Andmesubjekti teavitamisel antav teave õiguses ette, et peale lõikes 1 osutatud teabe annab vastutav (1) Kui seaduses on sätestatud andmesubjekti teavitamise kohustus töötleja selleks, et tema kohta isikuandmete töötlemisest, annab vastutav töötleja andmesubjektil oleks võimalik andmesubjektile järgmise täiendava teabe: oma õigusi teostada, talle 1) käesoleva seaduse § 25 lõikes 1 nimetatud teave; konkreetsetel juhtudel järgmise 2) isikuandmete töötlemise õiguslik alus; täiendava teabe: a) 3) isikuandmete säilitamise tähtaeg või säilitamise tähtaja määramise isikuandmete töötlemise alused; 10 õiguslik alus; 4) vastuvõtjate kategooriad, kellele on lubatud edastada b) isikuandmete säilitamise isikuandmeid; tähtaeg või, kui see ei ole 5) vajaduse korral muu täiendav teave. võimalik, siis kõnealuse tähtaja määramise kriteeriumid; c) asjakohasel juhul isikuandmete vastuvõtjate kategooriad, sealhulgas kolmandates riikides või rahvusvahelistes organisatsioonides; d) vajaduse korral täiendav teave, eriti juhul, kui isikuandmed on kogutud andmesubjekti teadmata. 3.Liikmesriigid võivad Valikuline IKS § 26. Andmesubjekti teavitamisel antav teave asjaomase füüsilise isiku põhiõigusi ja õigustatud huve (2) Vastutav töötleja võib käesoleva paragrahvi lõikes 1 nimetatud nõuetekohaselt arvestades võtta teabe andmesubjektile esitada hiljem, piirata selle esitamist või jätta seadusandlikke meetmeid, selle esitamata, kui see võib: millega nähakse ette 1) takistada või kahjustada süüteo tõkestamist, avastamist, andmesubjektile lõike 2 kohaselt esitatava teabe hilisem menetlemist või karistuste täideviimist; või piiratud esitamine või 2) kahjustada teise isiku õigusi ja vabadusi; esitamata jätmine sellises 3) kahjustada riiklikku julgeolekut. ulatuses ja seni, kuni selline meede on demokraatlikus ühiskonnas vajalik ja proportsionaalne: a) ametlike või õiguslike päringute, uurimiste või menetluste 11 takistamise vältimiseks; b) süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks; c) avaliku julgeoleku kaitseks; d) riigi julgeoleku kaitseks; e) teiste isikute õiguste ja vabaduste kaitseks. 4.Liikmesriigid võivad vastu Valikuline - - võtta seadusandlikke meetmeid, et määrata kindlaks isikuandmete töötlemise liigid, mille suhtes võivad täielikult või osaliselt kehtida vähemalt üks lõike 3 punktidest. Artikkel 14 Jah IKS § 27. Andmesubjekti õigus saada teavet ja enda kohta Andmesubjekti õigus tutvuda käivaid isikuandmeid isikuandmetega Kui artiklis 15 ei ole sätestatud (1) Andmesubjektil on õigus saada vastutavalt töötlejalt kinnitus selle teisiti, näevad liikmesriigid ette andmesubjekti õiguse saada kohta, kas teda käsitlevaid isikuandmeid töödeldakse. Andmesubjekti vastutavalt töötlejalt kinnitus soovil peab vastutav töötleja andmesubjektile teatavaks tegema: selle kohta, kas teda käsitlevaid 1) tema kohta käivad isikuandmed ja asjaomaste isikuandmete isikuandmeid töödeldakse või liigid; mitte, ning nende töötlemise 2) isikuandmete päritolu käsitleva olemasoleva teabe; korral tutvuda isikuandmete ja 3) isikuandmete töötlemise eesmärgi ja õigusliku aluse; järgmise teabega: 4) vastuvõtjad või nende kategooriad, kellele andmesubjekti a) töötlemise eesmärk ja 12 õiguslik alus; isikuandmeid on avalikustatud; b) asjaomaste isikuandmete 5) kavandatava isikuandmete säilitamise tähtaja või säilitamise liigid; tähtaja määramise alused; c) vastuvõtjad või vastuvõtjate 6) õiguse taotleda vastutavalt töötlejalt andmesubjekti isikuandmete kategooriad, kellele isikuandmeid on avalikustatud, parandamist, kustutamist või nende töötlemise piiramist; eelkõige kolmandates riikides 7) õiguse esitada Andmekaitse Inspektsioonile kaebus ning olevad vastuvõtjad või Andmekaitse Inspektsiooni kontaktandmed. rahvusvahelised organisatsioonid; d) kui võimalik, siis kavandatav isikuandmete säilitamise tähtaeg või, kui see ei ole võimalik, siis kõnealuse tähtaja määramise kriteeriumid; e) õigus taotleda vastutavalt töötlejalt andmesubjekti isikuandmete parandamist, kustutamist või nende töötlemise piiramist; f) õigus esitada järelevalveasutusele kaebus ning järelevalveasutuse kontaktandmed; g) töödeldavate isikuandmete ja nende päritolu käsitleva olemasoleva teabe edastamine. Artikkel 15 Valikuline IKS § 27. Andmesubjekti õigus saada teavet ja enda kohta Isikuandmetega tutvumise käivaid isikuandmeid õiguse piiramine 13  (2) Vastutav töötleja võib käesoleva paragrahvi lõikes 1 nimetatud 1.Liikmesriigid võivad teabe andmesubjektile esitada hiljem, piirata selle esitamist või asjaomase füüsilise isiku keelduda selle väljastamisest, kui see võib: põhiõigusi ja õigustatud huve 1) takistada või kahjustada süüteo tõkestamist, avastamist, nõuetekohaselt arvestades võtta seadusandlikke meetmeid, menetlemist või karistuste täideviimist; millega nähakse ette 2) kahjustada teise isiku õigusi ja vabadusi; andmesubjekti isikuandmetega 3) kahjustada riiklikku julgeolekut. tutvumise õiguse täielik või osaline piiramine sellises ulatuses ja seni, kuni selline piiramine on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede a) ametlike või õiguslike päringute, uurimiste või menetluste takistamise vältimiseks; b) süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks; c) avaliku julgeoleku kaitseks; d) riigi julgeoleku kaitseks; e) teiste isikute õiguste ja vabaduste kaitseks. 2.Liikmesriigid võivad vastu Valikuline - - võtta seadusandlikke meetmeid, et määrata kindlaks 14 isikuandmete töötlemise liigid, mille suhtes võivad täielikult või osaliselt kehtida lõike 1 punktid a–e. 3.Lõigetes 1 ja 2 osutatud Jah IKS § 27. Andmesubjekti õigus saada teavet ja enda kohta juhtudel näevad liikmesriigid käivaid isikuandmeid ette, et vastutav töötleja teavitab andmesubjekti (3) Vastutav töötleja teavitab andmesubjekti viivitamata kirjalikult põhjendamatu viivituseta kirjalikult isikuandmetega käesoleva paragrahvi lõikes 1 nimetatud teabega tutvumise tutvumisest keeldumisest või piiramisest või sellise teabega tutvumisest keeldumisest ja selle isikuandmetega tutvumise põhjustest. Vastutav töötleja võib jätta põhjendused esitamata, kui piiramisest ja keeldumise või sellise teabe andmine kahjustaks mõnda käesoleva paragrahvi lõikes piiramise põhjustest. Sellist 2 nimetatud eesmärki. teavet ei pea andma, kui selle andmine kahjustaks mõnda (4) Andmesubjekti teavitamisel käesoleva paragrahvi lõike 3 kohaselt lõike 1 kohast eesmärki. Liikmesriigid näevad ette, et teavitab vastutav töötleja andmesubjekti tema õigusest pöörduda vastutav töötleja teavitab otsuse vaidlustamiseks Andmekaitse Inspektsiooni või kohtu poole. andmesubjekti tema võimalusest esitada kaebus järelevalveasutusele või kasutada õiguskaitsevahendit. 4.Liikmesriigid näevad ette, et Jah IKS § 27. Andmesubjekti õigus saada teavet ja enda kohta vastutav töötleja käivaid isikuandmeid dokumenteerib otsuse faktilised ja õiguslikud alused. (5) Vastutav töötleja dokumenteerib käesoleva paragrahvi lõike 2 Nimetatud teave tehakse alusel tehtud otsuse faktilised ja õiguslikud alused ning teeb teabe kättesaadavaks vajaduse korral kättesaadavaks Andmekaitse Inspektsioonile. järelevalveasutustele. 15 Artikkel 16 jah IKS § 28. Andmesubjekti õigus nõuda isikuandmete parandamist Isikuandmete parandamise ja kustutamist või kustutamise ja isikuandmete töötlemise (1) Andmesubjektil on õigus nõuda vastutavalt töötlejalt teda piiramise õigus 1.Liikmesriigid näevad ette, et puudutavate ebaõigete, faktidel põhinevate isikuandmete andmesubjektil on õigus parandamist. nõuda, et vastutav töötleja parandaks põhjendamatu (2) Andmesubjektil on õigus nõuda vastutavalt töötlejalt teda viivituseta teda puudutavad puudutavate mittetäielike isikuandmete täiendamist, kui see on ebaõiged isikuandmed. Võttes isikuandmete töötlemise eesmärki arvestades asjakohane. arvesse isikuandmete töötlemise eesmärki, näevad liikmesriigid ette, et andmesubjektil on õigus nõuda mittetäielike isikuandmete täiendamist, muu hulgas täiendava õiendi esitamise teel. 2. Liikmesriigid nõuavad, et Jah IKS § 28. Andmesubjekti õigus nõuda isikuandmete parandamist vastutav töötleja kustutaks ja kustutamist isikuandmed põhjendamatu viivituseta ja näevad ette (3) Andmesubjektil on õigus nõuda vastutavalt töötlejalt kogutud andmesubjekti õiguse sellele, et vastutav töötleja kustutaks isikuandmete kustutamist, kui isikuandmete töötlemine ei ole seaduse põhjendamata viivituseta tema alusel lubatud või rikub isikuandmete töötlemise põhimõtteid või on isikuandmed, kui isikuandmete vajalik vastutava töötleja seaduses sätestatud kohustuse täitmiseks. töötlemine rikub artikli 4, 8 või 10 kohaselt vastu võetud sätteid või kui isikuandmed IKS § 37. Isikuandmete töötlemise nõuded tuleb kustutada vastutava Vastutav ja volitatud töötleja on isikuandmete töötlemisel kohustatud: töötleja juriidilise kohustuse 1) parandama ebaõiged isikuandmed; 16 täitmiseks. 2) kustutama isikuandmed, kui isikuandmete töötlemine ei ole seaduse alusel lubatud või rikub isikuandmete töötlemise põhimõtteid; 3) teavitama vastuvõtjat, kui isikuandmed on edastatud ebaseaduslikult või on edastatud ebaõiged isikuandmed; 4) tegema koostööd Andmekaitse Inspektsiooniga. . 3.Vastutav töötleja piirab Jah IKS § 28. Andmesubjekti õigus nõuda isikuandmete parandamist isikuandmete kustutamise ja kustutamist asemel nende töötlemist, kui: a) andmesubjekt vaidlustab (4) Vastutav töötleja piirab isikuandmete kustutamise asemel nende isikuandmete õigsuse ning töötlemist, kui: nende õigsust või ebaõigsust ei 1) andmesubjekt vaidlustab isikuandmete õigsuse ning nende õigsust ole võimalik kindlaks teha või või ebaõigsust ei ole võimalik kindlaks teha; b) isikuandmeid tuleb säilitada tõendamise eesmärgil. Juhul 2) isikuandmeid tuleb säilitada tõendamise eesmärgil. kui isikuandmete töötlemine on esimese lõigu punkti a kohaselt (5) Vastutav töötleja on kohustatud andmesubjekti teavitama piiratud, teavitab vastutav käesoleva paragrahvi lõikes 4 nimetatud piirangu kõrvaldamisest. töötleja andmesubjekti enne isikuandmete töötlemise piirangu kõrvaldamist. 4.Liikmesriigid näevad ette, et Jah IKS § 28. Andmesubjekti õigus nõuda isikuandmete parandamist vastutav töötleja teavitab ja kustutamist andmesubjekti kirjalikult keeldumisest isikuandmeid (6) Vastutav töötleja on kohustatud andmesubjekti viivitamata parandada või kustutada või teavitama kirjalikult keeldumisest isikuandmeid parandada või nende töötlemist piirata ning kustutada või nende töötlemist piirata ning keeldumise põhjustest. keeldumise põhjustest. Vastutav töötleja võib jätta põhjendused esitamata, kui sellise teabe Liikmesriigid võivad asjaomase füüsilise isiku andmine kahjustaks mõnda käesoleva seaduse § 27 lõikes 2 17 põhiõigusi ja õigustatud huve nimetatud eesmärki. nõuetekohaselt arvestades võtta vastu seadusandlikke (7) Andmesubjekti teavitamisel käesoleva paragrahvi lõike 6 kohaselt meetmeid, millega nähakse ette teavitab vastutav töötleja andmesubjekti tema õigusest pöörduda sellise teabe esitamise kohustuse täielik või osaline otsuse vaidlustamiseks Andmekaitse Inspektsiooni või kohtu poole. piiramine sellises ulatuses, mil selline piirang on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede: a) ametlike või õiguslike päringute, uurimiste või menetluste takistamise vältimiseks; b) süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise kahjustamise vältimiseks; c) avaliku julgeoleku kaitseks; d) riigi julgeoleku kaitseks; e) teiste isikute õiguste ja vabaduste kaitseks. Liikmesriigid näevad ette, et vastutav töötleja teavitab andmesubjekti tema võimalusest esitada kaebus järelevalveasutusele või kasutada õiguskaitsevahendit. 18 5.Liikmesriigid näevad ette, et jah IKS § 29. Vastutava töötleja kohustus teavitada isikuandmete vastutav töötleja teavitab parandamisest, kustutamisest ja nende töötlemise piiramisest ebaõigete isikuandmete parandamisest pädevat asutust, (1) Vastutav töötleja on isikuandmete parandamise korral kohustatud kellelt ebaõiged isikuandmed pärinevad. viivitamata teavitama sellest pädevat asutust, kellelt ebaõiged 6.Liikmesriigid näevad ette, et isikuandmed on saadud. juhul, kui isikuandmeid on lõigete 1, 2 ja 3 kohaselt (2) Kui isikuandmeid on käesoleva seaduse § 28 alusel parandatud, parandatud, kustutatud või kustutatud või nende töötlemist on piiratud, on vastutav töötleja nende töötlemist on piiratud, kohustatud isikuandmete parandamise, kustutamise või nende teavitab vastutav töötleja töötlemise piiramise korral teavitama vastuvõtjaid. vastuvõtjaid ning vastuvõtjad parandavad või kustutavad nende vastutuse alla kuuluvad (3) Käesoleva paragrahvi lõikes 2 nimetatud vastuvõtjad on isikuandmed või piiravad kohustatud parandama või kustutama nende vastutusalasse kuuluvad nende töötlemist. isikuandmed või piirama nende töötlemist. Artikkel 17 jah IKS § 31. Andmesubjekti õigus pöörduda Andmekaitse Andmesubjekti õiguste Inspektsiooni poole teostamine ja kontroll järelevalveasutuse poolt 1.Artikli 13 lõikes 3, artikli 15 (1) Kui andmesubjekt leiab, et isikuandmete töötlemisel rikutakse lõikes 3 ja artikli 16 lõikes 4 tema õigusi, on tal õigus pöörduda kaebusega Andmekaitse osutatud juhtudel võtavad Inspektsiooni poole. liikmesriigid vastu meetmeid, millega nähakse ette, et andmesubjekti õigusi võib teostada ka pädeva järelevalveasutuse kaudu. 19 2.Liikmesriigid näevad ette, et Jah IKS § 25. Andmesubjektile kättesaadavaks tehtav teave Vastutava töötleja kohustus vastutav töötleja teavitab teavitada andmesubjekti andmesubjekti võimalusest õigusest esitada kaebus teostada vastavalt lõikele 1 IKS § 27. Andmesubjekti õigus saada teavet ja enda kohta Andmekaitse oma õigusi järelevalveasutuse käivaid isikuandmeid Inspektsioonile on kaudu. sätestatud mitmes erinevas paragrahvis. Samuti peab IKS § 28. Andmesubjekti õigus nõuda isikuandmete parandamist selline teave olema ja kustutamist vastutava töötleja poolt avalikustatud. 3.Kui teostatakse lõikes 1 Jah IKS § 31. Andmesubjekti õigus pöörduda Andmekaitse osutatud õigust, teavitab Inspektsiooni poole järelevalveasutus andmesubjekti vähemalt (2) Andmekaitse Inspektsioon teavitab andmesubjekti tema kaebuse sellest, et kõik vajalikud kontrollid või läbivaatus alusel tehtud otsusest ja õigusest pöörduda Andmekaitse järelevalveasutuse poolt on Inspektsiooni otsuse vaidlustamiseks kohtusse. aset leidnud. Järelevalveasutus teavitab andmesubjekti ühtlasi õigusest kasutada õiguskaitsevahendit. Artikkel 18 Valikuline - Reguleeritud eriseaduse Andmesubjekti õigused tasandil. kriminaaluurimises ja – menetluses Liikmesriigid võivad ette näha, et kui isikuandmed sisalduvad kohtuotsuses, karistusregistris või kriminaaluurimise ja - menetluse käigus töödeldavas 20 toimikus, teostatakse artiklites 13, 14 ja 16 osutatud õigusi vastavalt liikmesriigi õigusele. Artikkel 19 Jah IKS § 32. Vastutav ja volitatud töötleja Vastutava töötleja kohustused (1) Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada käesoleva seaduse nõuete täitmine isikuandmete töötlemisel. Vastutav töötleja on kohustatud vajaduse korral tõendama käesolevas seaduses sätestatud nõuete täitmist. Artikkel 20. Lõimitud Jah IKS § 36. Lõimitud andmekaitse ja vaikimisi andmekaitse andmekaitse ja vaikimisi andmekaitse Artikkel 21 Jah IKS § 34. Kaasvastutavad töötlejad Kaasvastutavad töötlejad Artikkel 22 Jah IKS § 32. Vastutav ja volitatud töötleja Volitatud töötleja 1.Liikmesriigid näevad ette, et (1) Vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke kui isikuandmete töötlemine meetmeid, et tagada käesoleva seaduse nõuete täitmine isikuandmete toimub vastutava töötleja nimel, kasutab vastutav töötleja töötlemisel. Vastutav töötleja on kohustatud vajaduse korral ainult selliseid volitatud tõendama käesolevas seaduses sätestatud nõuete täitmist. töötlejaid, kes annavad piisava tagatise, et nad rakendavad (2) Vastutav töötleja annab volitatud töötlejale kohustuslikke juhiseid asjakohaseid tehnilisi ja isikuandmete töötlemiseks ja vastutab selle eest, et volitatud töötleja korralduslikke meetmeid täidab isikuandmete töötlemise nõudeid. sellisel viisil, et isikuandmete töötlemine vastab käesoleva direktiivi nõuetele, ning tagab (3) Vastutav töötleja võib kasutada üksnes selliseid volitatud andmesubjekti õiguste kaitse. töötlejaid, kes annavad piisava tagatise, et nad rakendavad 21 2.Liikmesriigid näevad ette, et asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et volitatud töötleja ei kaasa teist isikuandmete töötlemine vastab käesoleva seaduse nõuetele, ning volitatud töötlejat ilma tagab andmesubjekti õiguste kaitse. vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa (4) Volitatud töötleja võib isikuandmete töötlemist edasi volitada puhul teavitab volitatud üksnes vastutava töötleja kirjalikul eri- või üldloal ning tingimusel, et töötleja vastutavat töötlejat ei ületata volitatud töötleja volituste mahtu. Kirjaliku üldloaga alati kõigist kavandatavatest teavitab volitatud töötleja vastutavat töötlejat alati teiste volitatud muutustest, mis puudutavad töötlejate lisamisest või asendamisest. Vastutav töötleja võib sellisel teiste volitatud töötlejate juhul esitada selliste muudatuste suhtes vastuväiteid. lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste (5) Kui volitatud töötleja määrab käesolevat seadust rikkudes muudatuste suhtes kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on vastuväiteid. kõnealune volitatud töötleja selle töötlemise suhtes vastutav töötleja. 3.Liikmesriigid näevad ette, et Jah IKS § 33. Isikuandmete töötlemine vastutava töötleja nimel volitatud töötleja töötleb isikuandmeid volitatud (1) Vastutav töötleja võib määrata volitatud töötleja isikuandmeid töötlejale ja vastutavale töötlema seaduse, seaduse alusel antud õigusakti või kirjaliku lepingu töötlejale siduva lepingu või liidu või liikmesriigi õiguse alusel, milles sätestatakse isikuandmete töötlemise sisu ja kestus, laad kohase siduva õigusakti alusel, ja eesmärk, töödeldavate isikuandmete liik ja andmesubjektide milles sätestatakse kategooriad ning vastutava töötleja kohustused ja õigused. isikuandmete töötlemise sisu ja kestus, laad ja eesmärk, (2) Käesoleva paragrahvi lõikes 1 nimetatud seaduses, seaduse alusel isikuandmete liik ja antud õigusaktis või lepingus sätestatakse eelkõige, et volitatud andmesubjektide kategooriad töötleja on kohustatud: ning vastutava töötleja kohustused ja õigused. 1) tegutsema üksnes vastutava töötleja juhiste alusel; Nimetatud leping või siduv 2) tagama, et isikuandmeid töötlema volitatud isik hoiab saladuses 22 õigusakt sätestab eelkõige, et tööülesannete täitmisel teatavaks saanud isikuandmeid; volitatud töötleja 3) tagama andmesubjekti õiguste kaitse; a) tegutseb üksnes vastutava 4) pärast andmetöötlusteenuse osutamise lõppu kustutama või töötleja suuniste alusel; tagastama vastutavale töötlejale tema valikul kõik isikuandmed ja b) tagab, et isikuandmeid töötlema volitatud isikud on kustutama olemasolevad koopiad, kui seaduses ei ole sätestatud kohustunud järgima teisiti; konfidentsiaalsusnõuet või 5) tegema vastutavale töötlejale kättesaadavaks isikuandmete nende suhtes kehtib asjakohane töötlemisega seonduva teabe, mis on vajalik käesolevas paragrahvis õigusaktist tulenev sätestatud nõuete täitmise tõendamiseks; konfidentsiaalsuskohustus; 6) järgima käesoleva seaduse § 32 lõikes 4 ja käesolevas paragrahvis c) aitab vastutaval töötlejal sätestatud tingimusi teise volitatud töötleja kaasamiseks. kõigi asjakohaste vahenditega tagada andmesubjekti õigusi käsitlevate sätete järgimine; d) pärast andmetöötlusteenuste osutamise lõppu kustutab või tagastab vastutavale töötlejale vastutava töötleja valikul kõik isikuandmed ja kustutab olemasolevad koopiad, välja arvatud juhul, kui liidu või liikmesriigi õiguse kohaselt nõutakse isikuandmete säilitamist; e) teeb vastutavale töötlejale kättesaadavaks kogu teabe, mis on vajalik käesoleva artikli täitmise tõendamiseks; f) järgib lõigetes 2 ja 3 osutatud tingimusi teise 23 volitatud töötleja kaasamiseks. 4.Lõikes 3 osutatud leping või siduv õigusakt peab olema kirjalik, sh elektroonilisel kujul. 5.Kui volitatud töötleja määrab Jah IKS § 32. Vastutav ja volitatud töötleja käesolevat direktiivi rikkudes isikuandmete töötlemise (5) Kui volitatud töötleja määrab käesolevat seadust rikkudes eesmärgid ja vahendid, siis kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on loetakse kõnealust volitatud töötlejat selle töötlemise suhtes kõnealune volitatud töötleja selle töötlemise suhtes vastutav töötleja. vastutavaks töötlejaks. Artikkel 23 Jah IKS § 35. Isikuandmete töötlemine vastutava töötleja juhiste Isikuandmete töötlemine alusel vastutava töötleja või volitatud töötleja volituse Vastutava või volitatud töötleja volituse alusel isikuandmeid töötlev alusel isik on kohustatud neid töötlema üksnes vastutava töötleja antud Liikmesriigid näevad ette, et juhiste kohaselt, kui seaduses ei ole sätestatud teisiti. volitatud töötleja ning vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, tohivad nimetatud isikuandmeid töödelda üksnes vastutava töötleja juhiste alusel, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab. 24 Artikkel 24 Jah IKS § 40. Isikuandmete töötlemise toimingute registreerimine Isikuandmete töötlemise toimingute dokumenteerimine Artikkel 25 Jah IKS § 39. Logimine Logimine Artikkel 26 Jah IKS § 37. Isikuandmete töötlemise nõuded Koostöö järelevalveasutusega Liikmesriigid näevad ette, et Vastutav ja volitatud töötleja on isikuandmete töötlemisel kohustatud: vastutav töötleja ja volitatud 1) parandama ebaõiged isikuandmed; töötleja teevad oma ülesannete täitmise käigus taotluse korral 2) kustutama isikuandmed, kui isikuandmete töötlemine ei ole koostööd järelevalveasutusega. seaduse alusel lubatud või rikub isikuandmete töötlemise põhimõtteid; 3) teavitama vastuvõtjat, kui isikuandmed on edastatud ebaseaduslikult või on edastatud ebaõiged isikuandmed; 4) tegema koostööd Andmekaitse Inspektsiooniga. Artikkel 27 Jah IKS § 41. Andmekaitsealane mõjuhinnang Andmekaitsealane mõjuhinnang Artikkel 28 Jah IKS § 42. Eelnev konsulteerimine Andmekaitse Inspektsiooniga Eelnev konsulteerimine järelevalveasutusega Artikkel 29 Jah IKS § 46. Isikuandmete töötlemise turvameetmed Isikuandmete töötlemise turvalisus 25 Artikkel 30 Jah IKS § 47. Andmekaitse Inspektsiooni teavitamine isikuandmetega Järelevalveasutuse seotud rikkumisest teavitamine isikuandmetega seotud rikkumisest Artikkel 31 Jah IKS § 48. Andmesubjekti teavitamine isikuandmetega seotud Andmesubjekti teavitamine rikkumisest isikuandmetega seotud rikkumisest Artikkel 32 Jah IKS § 43. Andmekaitsespetsialisti määramine Andmekaitseametniku määramine Artikkel 33 IKS § 45. Andmekaitsespetsialisti ametiseisund Andmekaitseametniku ametiseisund Artikkel 34 Jah IKS § 44. Andmekaitseametniku ülesanded Andmekaitseametniku ülesanded Artikkel 35 Jah IKS § 49. Isikuandmete kolmandale riigile ja rahvusvahelisele Isikuandmete edastamise organisatsioonile edastamise üldtingimused üldpõhimõtted Artikkel 36 Jah IKS § 49. Isikuandmete kolmandale riigile ja rahvusvahelisele Edastamine kaitse piisavuse organisatsioonile edastamise üldtingimused otsuse alusel 1. Liikmesriigid näevad ette, et isikuandmeid võib kolmandale riigile või rahvusvahelisele 26 organisatsioonile edastada siis, kui komisjon on teinud otsuse, et asjaomane kolmas riik või asjaomase kolmanda riigi territoorium või asjaomase kolmanda riigi üks või mitu kindlaksmääratud sektorit või rahvusvaheline organisatsioon tagab isikuandmete kaitse piisava taseme. Selliseks edastamiseks ei ole vaja eriluba. Lõiked 2-6 Ei - - 7. Liikmesriigid näevad ette, Jah IKS § 49. Isikuandmete kolmandale riigile ja rahvusvahelisele et lõike 5 kohane otsus ei organisatsioonile edastamise üldtingimused mõjuta artiklite 37 ja 38 kohaseid isikuandmete (4) Kui Euroopa Komisjon on vastu võtnud Euroopa Parlamendi ja edastamisi kolmandale riigile nõukogu direktiivi (EL) nr 2016/680 artikli 36 lõikes 5 nimetatud või kõnealuse kolmanda riigi otsuse, võib isikuandmeid edastada kolmandale riigile või territooriumile või kõnealuse rahvusvahelisele organisatsioonile käesoleva seaduse §-de 50 ja 51 kolmanda riigi ühele või mitmele kindlaksmääratud alusel. sektorile või kõnealusele rahvusvahelisele organisatsioonile. Artikkel 37 Jah IKS § 50. Isikuandmete edastamine asjakohaste kaitsemeetmete Edastamine asjakohaste kohaldamisel kaitsemeetmete kohaldamisel 27  IKS § 53. Andmekaitse Inspektsiooni teavitamine ja isikuandmete edastamise dokumenteerimine Artikkel 38 Jah IKS § 51. Isikuandmete edastamine eriolukordades Erandid eriolukordades IKS § 53. Andmekaitse Inspektsiooni teavitamine ja isikuandmete edastamise dokumenteerimine Artikkel 39 Jah IKS § 52. Isikuandmete edastamine kolmandas riigis asuvale Isikuandmete edastamine vastuvõtjale kolmandates riikides IKS § 53. Andmekaitse Inspektsiooni teavitamine ja asuvatele vastuvõtjatele isikuandmete edastamise dokumenteerimine Artikkel 40 Ei - Säte ei vaja üldseaduse Isikuandmete kaitseks tehtav tasandil kehtestamist. rahvusvaheline koostöö Artikkel 41 Jah IKS § 54. Sõltumatu järelevalveasutuse moodustamine Järelevalveasutus IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja haldusjärelevalve teostamisel Artikkel 42 jah IKS § 54. Sõltumatu järelevalveasutuse moodustamine Sõltumatus Artikkel 43 jah - Kuna nii direktiivi Järelevalveasutuse liikmetele kohaldamisalasse jääva esitatavad üldtingimused tegevuse kui ka üldmääruse kohaldamisalasse jääva tegevuse puhul teostab järelevalvet Andmekaitse Inspektsioon, siis lähtutakse määruse nr 2016/679 artiklis 28  53 sätestatust Artikkel 44 Jah IKS § 54. Sõltumatu järelevalveasutuse moodustamine Järelevalveasutuse asutamise IKS § 55. Andmekaitse Inspektsiooni juhi ametisse nimetamiseks eeskirjad nõutav kvalifikatsioon IKS § 56. Andmekaitse Inspektsiooni juhi ametisse nimetamine ja ametist vabastamine Artikkel 45 Jah Pädevus IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja haldusjärelevalve teostamisel (1) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides, Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 sätestatud nõuete ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle teostab riiklikku ja haldusjärelevalvet Andmekaitse Inspektsioon. Artikkel 46 Jah Ülesanded IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja 1.Liikmesriigid näevad ette, et haldusjärelevalve teostamisel järelevalveasutusel on liikmesriigi territooriumil (1) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides, järgmised ülesanded: määruses nr 2016/679 sätestatud nõuete ning muudes seadustes a) valvata käesoleva direktiivi isikuandmete töötlemise töötlemisele kehtestatud nõuete täitmise üle kohaselt vastu võetud sätete ja teostab riiklikku ja haldusjärelevalvet Andmekaitse Inspektsioon. direktiivi rakendusmeetmete kohaldamise järele ning nende tagada kohaldamist; 29 b) suurendada üldsuse Jah teadlikkust ja arusaamist - Määruse nr 2016/679 isikuandmete töötlemisel artikkel 57 lõige 1 punkt esinevatest ohtudest, b: töötlemise kohta kehtivatest normidest ja kaitsemeetmetest b) suurendab üldsuse ning isikuandmete teadlikkust ja arusaamist töötlemisega seotud õigustest; isikuandmete töötlemisel esinevatest ohtudest, töötlemise normidest ja kaitsemeetmetest ning isikuandmete töötlemisega seotud õigustest. Erilist tähelepanu pööratakse lastele suunatud tegevusele; Kuna nii direktiivi kohaldamisalasse jääva tegevuse kui ka üldmääruse kohaldamisalasse jääva tegevuse puhul teostab järelevalvet Andmekaitse Inspektsioon, siis lähtub Andmekaitse Inspektsioon määruse nr 2016/679 artiklis 57 sätestatud ülesannetest. Seetõttu ei vaja siseriiklikult sätestamist sellised direktiivi sätted, mida on Andmekaitse Inspektsioon kohustatud järgima määruse 30  täitmisel. c) nõustada kooskõlas jah liikmesriigi õigusega - Määruse nr 2016/679 liikmesriigi parlamenti, artikkel 57 lõige 1 punkt c valitsust ning teisi institutsioone ja organeid c) nõustab kooskõlas õigus- ja haldusmeetmete osas liikmesriigi õigusega riigi seoses füüsiliste isikute õiguste parlamenti, valitsust ning ja vabaduste kaitsega teisi institutsioone ja isikuandmete töötlemisel; organeid õigus- ja haldusmeetmete osas seoses füüsiliste isikute õiguste ja vabaduste kaitsega isikuandmete töötlemisel; d) edendada vastutavate jah töötlejate ja volitatud töötlejate IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja teadlikkust nende käesoleva haldusjärelevalve teostamisel direktiivi kohastest kohustustest; (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: 1) edendada vastutavate töötlejate ja volitatud töötlejate teadlikkust käesolevast seadusest tulenevatest kohustustest; e) anda andmesubjektile Jah taotluse korral teavet tema IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja käesolevast direktiivist haldusjärelevalve teostamisel tulenevate õiguste teostamise kohta ja teha asjakohasel juhul (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 sel eesmärgil koostööd teiste artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: liikmesriikide 2) anda andmesubjekti taotluse korral teavet tema käesolevast 31 järelevalveasutustega; seadusest tulenevate õiguste teostamise kohta ja teha asjakohasel juhul sel eesmärgil koostööd teiste liikmesriikide järelevalveasutustega; f) käsitleda andmesubjekti, Jah asutuse, organisatsiooni või - Määruse nr 2016/679 ühenduse poolt artikli 55 artikkel 57 lõige 1 punkt f kohaselt esitatud kaebusi, uurida asjakohasel määral f) käsitleb andmesubjekti, kaebuste sisu ning teavitada asutuse, organisatsiooni või kaebuse esitajat mõistliku aja ühenduse poolt artikli 80 jooksul uurimise käigust ja kohaselt esitatud kaebusi, tulemusest, eelkõige juhul, kui uurib asjakohasel määral on vajalik täiendav uurimine kaebuste sisu ning teavitab või kooskõlastamine teise kaebuse esitajat mõistliku järelevalveasutusega; aja jooksul uurimise käigust ja tulemusest, eelkõige juhul, kui on vajalik täiendav uurimine või kooskõlastamine teise järelevalveasutusega; g) kontrollida isikuandmete Jah töötlemise seaduslikkust IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja vastavalt artiklile 17 ning haldusjärelevalve teostamisel teavitada andmesubjekti mõistliku aja jooksul artikli 17 (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 lõike 3 kohase kontrollimise artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: tulemusest või kontrolli 3) kontrollida isikuandmete töötlemise seaduslikkust ning teavitada 32 teostamata jätmise põhjustest; andmesubjekti mõistliku aja jooksul käesoleva seaduse § 31 lõikes 2 nimetatud otsusest; h) teha koostööd teiste Jah järelevalveasutustega, IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja sealhulgas jagades neile teavet, haldusjärelevalve teostamisel ja osutada vastastikust abi, et tagada käesoleva direktiivi (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 ühetaoline kohaldamine ja artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: täitmise tagamine; 4) teha koostööd teiste järelevalveasutustega ja osutada vastastikust abi, et tagada käesolevas seaduses sätestatud nõuete täitmine; i) toimetada uurimisi käesoleva Jah direktiivi kohaldamise kohta, IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja muu hulgas teiselt haldusjärelevalve teostamisel järelevalveasutuselt või muult riigiasutuselt saadud teabe (1) Käesolevas seaduses ja selle alusel kehtestatud õigusaktides, põhjal; määruses nr 2016/679 sätestatud nõuete ning muudes seadustes isikuandmete töötlemise töötlemisele kehtestatud nõuete täitmise üle teostab riiklikku ja haldusjärelevalvet Andmekaitse Inspektsioon. j)jälgida asjaomaseid Jah suundumusi, niivõrd kuivõrd - Määruse nr 2016/679 need mõjutavad isikuandmete artikkel 57 lõige 1 punkt i kaitset, eelkõige info- ja kommunikatsioonitehnoloogia i)jälgib asjaomaseid arengut; suundumusi, niivõrd kuivõrd need mõjutavad isikuandmete kaitset, eelkõige info- ja sidetehnoloogiate ning kaubandustavade arengut; 33 k) anda nõu artiklis 28 osutatud Jah isikuandmete töötlemise IKS § 42. Eelnev konsulteerimine Andmekaitse Inspektsiooniga toimingute osas ning (3) Kui Andmekaitse Inspektsiooni hinnangul rikuks käesoleva paragrahvi lõikes 1 nimetatud kavandatav isikuandmete töötlemine käesoleva seaduse nõudeid, annab Andmekaitse Inspektsioon vastutavale ja asjakohasel juhul volitatud töötlejale nõu, milliseid täiendavaid meetmeid tuleks võtta. l) anda panus Jah andmekaitsenõukogu - Määruse nr 2016/679 tegevusse. artikkel 57 lõige 1 punkt t t) annab panuse andmekaitsenõukogu tegevusse; 2.Järelevalveasutus võtab meetmeid lõike 1 punktis f Määruse nr 2016/679 osutatud kaebuste esitamise artikkel 57 lõige 2, 3, 4 hõlbustamiseks, näiteks annab kaebuste esitamise vormi, mida 2.Järelevalveasutus võtab saab ka täita elektrooniliselt, meetmeid lõike 1 punktis b ilma et see välistaks muude osutatud kaebuste esitamise sidevahendite kasutamist. lihtsustamiseks, näiteks 3.Järelevalveasutus täidab oma koostab kaebuste esitamise ülesandeid andmesubjekti ja vormi, mida saab täita ka andmekaitseametniku jaoks elektrooniliselt, ilma et see tasuta. välistaks muude 4.Kui taotlus on selgelt sidevahendite kasutamist. põhjendamatu või ülemäärane, eelkõige oma korduva 3.Järelevalveasutus täidab iseloomu tõttu, võib oma ülesandeid 34 järelevalveasutus nõuda oma andmesubjekti ja halduskuludel põhinevat asjakohasel juhul mõistlikku tasu või keelduda andmekaitseametniku jaoks taotlust menetlemast. tasuta. Järelevalveasutus on kohustatud tõendama, et taotlus 4.Kui taotlused on selgelt on selgelt põhjendamatu või põhjendamatud või ülemäärane. ülemäärased, eelkõige oma korduva iseloomu tõttu, võib järelevalveasutus nõuda halduskuludel põhinevat mõistlikku tasu või keelduda taotlust menetlemast. Järelevalveasutus on kohustatud tõendama taotluse selgelt põhjendamatut või ülemäärast iseloomu. Artikkel 47 Jah Vabariigi Valitsuse seadus Volitused § 751. Haldusjärelevalve § 752. Haldusjärelevalve meetmed Artikkel 48 Jah Rikkumistest teatamise Rikkumistest teatamine - regulatsioon sisaldub eriseadustes või vastava asutuse sisekorra eeskirjades. Artikkel 49 Jah Määruse nr 2016/679 Tegevusaruanne - artikkel 59 (tegevusaruanne) 35 Artikkel 50 Jah Vastastikune abi IKS § 59. Andmekaitse Inspektsiooni pädevus riikliku ja Lisaks määruse 2016/679 haldusjärelevalve teostamisel artikli 61 lõiked 2-9 (2) Lisaks Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklis 57 sätestatule on Andmekaitse Inspektsiooni pädevuses: 4) teha koostööd teiste järelevalveasutustega ja osutada vastastikust abi, et tagada käesolevas seaduses sätestatud nõuete täitmine Artikkel 51 ei Reguleerib määrusega Andmekaitsenõukogu - 2016/679 asutatud ülesanded andmekaitsenõukogu ülesandeid, mis ei vaja siseriiklikult ülevõtmist. Artikkel 52 Jah Õigus esitada IKS § 31. Andmesubjekti õigus pöörduda Andmekaitse järelevalveasutusele kaebus Inspektsiooni poole 1.Ilma et see piiraks teiste halduslike kaitsevahendite või (1) Kui andmesubjekt leiab, et isikuandmete töötlemisel rikutakse õiguskaitsevahendite tema õigusi, on tal õigus pöörduda kaebusega Andmekaitse kohaldamist, näevad Inspektsiooni poole. liikmesriigid ette, et andmesubjektil on õigus esitada kaebus ühele järelevalveasutusele, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesoleva direktiivi kohaselt vastu võetud sätteid. 36 2.Liikmesriigid näevad ette, et Jah Eestis teostab isikuandmete järelevalveasutus, kellele IKS § 31. Andmesubjekti õigus pöörduda Andmekaitse töötlemisele kehtestatud kaebus esitati, edastab selle Inspektsiooni poole nõuete täitmise üle teostab põhjendamatu viivituseta riiklikku ja pädevale järelevalveasutusele, (3) Kui andmesubjekti kaebust on pädev lahendama teise Euroopa haldusjärelevalvet kui kaebust ei esitata sellele Liidu liikmesriigi pädev järelevalveasutus, suunab Andmekaitse Andmekaitse Inspektsioon järelevalveasutusele, kes on Inspektsioon andmesubjekti oma kaebuse esitamiseks teise Euroopa ainukesena. Seetõttu on pädev vastavalt artikli 45 Liidu liikmesriigi pädeva järelevalveasutuse poole. asjakohane andmesubjekti lõikele 1. Andmesubjekti suunamine teise järelevalve teavitatakse kaebuse asutuse poole juhul, kui edastamisest. kaebuse lahendamine kuulub mõne teise liikmesriigi pädevusse 3.Liikmesriigid näevad ette, et Jah IKS § 59. Andmekaitse Inspektsiooni pädevus riikiliku ja järelevalveasutus, kellele haldusjärelevalve teostamisel kaebus esitati, annab 5) käesoleva seaduse § 30 lõikes 3 sätestatud kaebuse edastamisel andmesubjekti taotluse korral teavitab Andmekaitse Inspektsioon andmesubjekti tema kaebuse talle edasist abi. edastamisest ning annab andmesubjekti soovil talle täiendava selgituse seoses kaebuse edastamisega. 4.Pädev järelevalveasutus Jah teavitab andmesubjekti IKS § 31. Andmesubjekti õigus pöörduda Andmekaitse kaebuse menetlemise Inspektsiooni poole edenemisest ja tulemusest, kaasa arvatud artikli 53 kohase (2) Andmekaitse Inspektsioon teavitab andmesubjekti tema kaebuse õiguskaitsevahendi kasutamise alusel tehtud otsusest ja õigusest pöörduda Andmekaitse võimalusest. Inspektsiooni otsuse vaidlustamiseks kohtusse. Artikkel 53 Jah Tegemist on kohtusse Õigus tõhusale - pöördumise üldise õigusega. õiguskaitsevahendile järelevalveasutuse vastu Vastavalt HKMS § 37 37  lõikele 2 võib kaebusega nõuda haldusakti osalist või täielikku tühistamist ning samuti haldusakti andmist või toimingu tegemist. Vastavalt HKMS §-le 46 lõikele 2 võib haldusorgani tegevusetuse või viivituse korral kohustamiskaebuse esitada ühe aasta jooksul haldusakti andmiseks või toimingu tegemiseks ette nähtud tähtaja möödumisest. Artikkel 54 Jah Andmesubjektil on Õigus tõhusale - põhiseadusest tulenev õigus õiguskaitsevahendile pöörduda kohtusse oma vastutava töötleja või õiguste ja vabaduste volitatud töötleja vastu rikkumise korral. Artikkel 55 valikuline Eesti õiguses ei näha ette nn Andmesubjektide esindamine - populaarkaebuse esitamise võimalust. Artikkel 56 Jah Kahju hüvitamine on Õigus hüvitisele - võimalik riigivastutuse seaduse või võlaõigusseaduses sätestatu kohaselt. Artikkel 57 Jah KarS § 157 ja 1571; Karistused Teenistusliku järelevalve läbiviimine VVS 7. peatüki 38  alusel; Distsiplinaarmenetluse läbiviimise võimalikkus; Artikkel 58 Ei Rakendussäte, mida ei võeta Komiteemenetlus - üle. Artikkel 59-62 Ei Sätted, mida ei võeta üle. - Artikkel 63 Valikuline . Ülevõtmine 2.Erandina lõikest 1 võib liikmesriik sätestada, et kui sellega kaasneb ebaproportsionaalne jõupingutus, viiakse enne 6. maid 2016 loodud automatiseeritud isikuandmete töötlemissüsteemid erandjuhul artikli 25 lõikega 1 vastavusse 6. maiks 2023. Artikkel 64-65 Ei Rakendussätted, mida ei - võeta üle. 39