Isikuandmete töötlemine ettevõttes

Millal tohib ettevõte isikuandmeid töödelda?

Isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta, näiteks nimi, isikukood, asukohateave või võrguidentifikaator (IKÜM art 4 p 1) [7]. Ettevõte, kes määrab kindlaks töötlemise eesmärgid ja vahendid, on vastutav töötleja (IKÜM art 4 p 7) [7].

Töötlemine on seaduslik ainult siis, kui on täidetud vähemalt üks järgmistest tingimustest (IKÜM art 6 lg 1) [1]:

• andmesubjekt on andnud nõusoleku ühel või mitmel konkreetsel eesmärgil (p a);
• töötlemine on vajalik andmesubjektiga sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks tema taotlusel (p b);
• töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks (p c);
• töötlemine on vajalik andmesubjekti või teise füüsilise isiku eluliste huvide kaitsmiseks (p d);
• töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks (p e);
• töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui selle huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused (p f).

Lisaks tuleb järgida töötlemise põhimõtteid: andmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel, need on piiratud sellega, mis on eesmärgi seisukohalt vajalik, ja neid säilitatakse tuvastataval kujul ainult seni, kuni see on eesmärgi täitmiseks vajalik (IKÜM art 5 lg 1 p b, c ja e) [8]. Põhimõtete täitmist peab vastutav töötleja suutma tõendada (IKÜM art 5 lg 2) [8].

Kui töötlemine põhineb nõusolekul, peab ettevõte suutma tõendada, et inimene on nõustunud (IKÜM art 7 lg 1) [9]. Inimene võib nõusoleku igal ajal tagasi võtta ja tagasivõtmine peab olema sama lihtne kui nõusoleku andmine (IKÜM art 7 lg 3) [9]. Kui infoühiskonna teenust pakutakse otse lapsele ja töötlemine põhineb nõusolekul, on lapse andmete töötlemine lubatud ainult juhul, kui laps on vähemalt 13-aastane; noorema lapse puhul on vaja seadusliku esindaja nõusolekut (IKS § 8 lg 1 ja 2) [10].

Eriliiki andmete, näiteks terviseandmete, isiku kordumatuks tuvastamiseks kasutatavate biomeetriliste andmete ja ametiühingusse kuulumise andmete töötlemine on keelatud (IKÜM art 9 lg 1) [11], välja arvatud artiklis loetletud juhtudel, näiteks kui inimene on andnud selgesõnalise nõusoleku või kui töötlemine on vajalik tööõigusest tulenevate kohustuste täitmiseks (IKÜM art 9 lg 2 p a ja b) [11].

Mida peab ettevõte inimesele teatama?

Kui andmed kogutakse inimeselt endalt, tuleb talle andmete saamise ajal teatada muu hulgas vastutava töötleja nimi ja kontaktandmed, töötlemise eesmärk ja õiguslik alus, õigustatud huvi korral see huvi ning asjakohasel juhul andmete vastuvõtjad või nende kategooriad (IKÜM art 13 lg 1) [2]. Samuti tuleb teatada andmete säilitamise ajavahemik või selle määramise kriteeriumid, inimese õigused ja õigus esitada kaebus järelevalveasutusele (IKÜM art 13 lg 2 p a, b ja d) [2].

Teave tuleb esitada kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt (IKÜM art 12 lg 1) [3]. Teabe andmine on tasuta (IKÜM art 12 lg 5) [3].

Millised õigused on inimesel ja kui kiiresti tuleb vastata?

• Tutvumine andmetega. Inimesel on õigus saada kinnitust, kas tema andmeid töödeldakse, ja tutvuda andmetega ning teabega töötlemise eesmärgi, vastuvõtjate ja säilitamise kohta (IKÜM art 15 lg 1) [12]. Ettevõte esitab töödeldavate andmete koopia; lisakoopiate eest võib küsida mõistlikku tasu (IKÜM art 15 lg 3) [12].
• Parandamine. Ebaõiged andmed tuleb parandada põhjendamatu viivituseta (IKÜM art 16) [13].
• Kustutamine. Andmed tuleb kustutada näiteks siis, kui neid ei ole enam eesmärgi jaoks vaja, kui inimene võtab nõusoleku tagasi ja muud alust ei ole või kui andmeid on töödeldud ebaseaduslikult (IKÜM art 17 lg 1 p a, b ja d) [14]. Kustutamise kohustus ei kehti, kui töötlemine on vajalik juriidilise kohustuse täitmiseks või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks (IKÜM art 17 lg 3 p b ja e) [14].
• Vastuväide otseturundusele. Inimene võib igal ajal esitada vastuväite oma andmete töötlemisele otseturunduse eesmärgil (IKÜM art 21 lg 2) [15]; pärast seda ei tohi andmeid sel eesmärgil enam töödelda (IKÜM art 21 lg 3) [15].

Ettevõte peab taotluse alusel võetud meetmetest teatama hiljemalt ühe kuu jooksul; vajaduse korral võib tähtaega taotluste keerukust ja hulka arvestades pikendada kahe kuu võrra, teatades pikendamisest ja selle põhjustest ühe kuu jooksul (IKÜM art 12 lg 3) [3]. Kui ettevõte taotlust ei täida, peab ta ühe kuu jooksul põhjendama ja selgitama kaebuse esitamise võimalust (IKÜM art 12 lg 4) [3]. Selgelt põhjendamatu või ülemäärase taotluse korral võib küsida mõistlikku tasu või keelduda; seda peab tõendama ettevõte (IKÜM art 12 lg 5) [3].

Inimene võib esitada kaebuse järelevalveasutusele (IKÜM art 77 lg 1) [16] ning rikkumise tõttu materiaalset või mittemateriaalset kahju kandnud isikul on õigus saada hüvitist (IKÜM art 82 lg 1) [17].

Mida teha, kui andmed lekivad?

Isikuandmetega seotud rikkumine on turvanõuete rikkumine, mis põhjustab isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu (IKÜM art 4 p 12) [7].

• Järelevalveasutust tuleb teavitada põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta tõenäoliselt ohtu inimeste õigustele ja vabadustele (IKÜM art 33 lg 1) [4].
• Teates kirjeldatakse rikkumise laadi, võimalikke tagajärgi ja võetud meetmeid ning antakse kontaktisiku andmed (IKÜM art 33 lg 3) [4]. Kui kogu teavet ei saa korraga esitada, võib seda esitada järk-järgult (IKÜM art 33 lg 4) [4].
• Volitatud töötleja (nt IT-teenuse osutaja) peab vastutavat töötlejat teavitama põhjendamatu viivituseta (IKÜM art 33 lg 2) [4].
• Kõik rikkumised tuleb dokumenteerida, ka need, millest ei teatata (IKÜM art 33 lg 5) [4].
• Kui rikkumine kujutab tõenäoliselt suurt ohtu inimeste õigustele ja vabadustele, tuleb põhjendamatu viivituseta teavitada ka inimesi endid (IKÜM art 34 lg 1) [18]. Seda ei nõuta näiteks siis, kui andmed olid kaitstud meetmetega, mis muudavad need loetamatuks, nagu krüpteerimine (IKÜM art 34 lg 3 p a) [18].

Kui suured on trahvid?

Isikuandmete kaitse seaduses sätestatud väärtegude eest karistatakse rahatrahviga ja nende kohtuväline menetleja on Andmekaitse Inspektsioon (IKS § 73 lg 2) [19].

• Töötlemise põhimõtete ja nõusoleku korra rikkumine: juriidilisele isikule kuni 20 000 000 eurot või kuni 4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (IKS § 65 lg 2) [6]; sama ülemmäär kehtib andmesubjekti õiguste rikkumise eest (IKS § 66 lg 2) [20].
• Vastutava või volitatud töötleja kohustuste rikkumine (sh rikkumisest teatamine, turvalisus, volitatud töötleja leping): juriidilisele isikule kuni 10 000 000 eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (IKS § 62 lg 2) [21].
• Isikule, kellel on töö- või teenistusülesannete tõttu juurdepääs isikuandmetele ja kes neid ebaseaduslikult kogub, vaatab, kasutab või teeb nende kohta päringuid, võib määrata rahatrahvi kuni 200 trahviühikut, kui puuduvad karistusseadustiku §-des 157 ja 157¹ sätestatud süüteokoosseisud (IKS § 71) [22].
• Väärtegude aegumistähtaeg on kolm aastat (IKS § 73 lg 1) [19].

Lisaks võib Andmekaitse Inspektsiooni ettekirjutuse täitmata jätmisel rakendada sunniraha, mille igakordne ülemmäär on kuni 20 000 000 eurot või ettevõtja puhul kuni 4 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem (IKS § 60) [23].

Mida seadus ütleb

• „Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest“ (IKÜM art 6 lg 1) [1] – ilma õigusliku aluseta ei tohi andmeid töödelda.
• „Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja“ (IKÜM art 5 lg 2) [8] – ettevõte peab oma andmetöötluse nõuetele vastavust suutma näidata.
• „Nõusoleku tagasivõtmine on sama lihtne kui selle andmine.“ (IKÜM art 7 lg 3) [9] – nõusoleku tagasivõtmist ei tohi teha keeruliseks.
• „Kui järelevalveasutust teavitatakse hiljem kui 72 tunni jooksul, esitatakse teates selle kohta põhjendus.“ (IKÜM art 33 lg 1) [4] – hilinenud teade tuleb põhjendada.
• „Kui andmesubjekt esitab vastuväiteid otseturunduse eesmärgil toimuva andmete töötlemise suhtes, ei tohi isikuandmeid sellisel eesmärgil enam töödelda.“ (IKÜM art 21 lg 3) [15] – otseturunduse keeldu tuleb järgida kohe.

Mida teha

1. Kaardistage, milliseid isikuandmeid ettevõte töötleb, mis eesmärgil ja millisel õiguslikul alusel (IKÜM art 6 lg 1) [1]. Pidage töötlemistoimingute registrit, mille sisu on loetletud määruses (IKÜM art 30 lg 1) [24]. Vähem kui 250 töötajaga ettevõtja peab registrit siis, kui töötlemine tõenäoliselt ohustab inimeste õigusi ja vabadusi, kui ta ei töötle andmeid üksnes vahetevahel või kui ta töötleb eriliiki andmeid või süütegudega seotud andmeid (IKÜM art 30 lg 5) [24].
2. Koostage andmekaitsetingimused, mis sisaldavad kogu nõutava teabe (IKÜM art 13 lg 1 ja 2) [2].
3. Sõlmige kirjalik leping (sh elektroonilisel kujul) iga volitatud töötlejaga, kes töötleb andmeid ettevõtte nimel (IKÜM art 28 lg 3 ja 9) [25].
4. Rakendage ohule vastavaid tehnilisi ja korralduslikke turvameetmeid, näiteks pseudonümiseerimist ja krüpteerimist (IKÜM art 32 lg 1 p a) [26].
5. Kontrollige, kas peate määrama andmekaitseametniku, näiteks kui ettevõtte põhitegevus on eriliiki andmete ulatuslik töötlemine (IKÜM art 37 lg 1 p c) [27]; ametniku kontaktandmed tuleb avaldada ja järelevalveasutusele teatada (IKÜM art 37 lg 7) [27].
6. Looge kord, kuidas vastata inimeste taotlustele ühe kuu jooksul (IKÜM art 12 lg 3) [3] ja kuidas rikkumise korral teavitada järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul (IKÜM art 33 lg 1) [4].

Korduma kippuvad küsimused

Kas ettevõte vajab alati inimese nõusolekut?

Ei. Nõusolek on üks kuuest alusest; töötlemine võib põhineda ka näiteks lepingu täitmisel, seadusjärgsel kohustusel või õigustatud huvil (IKÜM art 6 lg 1 p b, c ja f) [1].

Kui kiiresti tuleb vastata andmetega tutvumise taotlusele?

Tarbetu viivituseta, kuid mitte hiljem kui ühe kuu jooksul pärast taotluse saamist; vajaduse korral võib tähtaega taotluste keerukust ja hulka arvestades pikendada kahe kuu võrra (IKÜM art 12 lg 3) [3].

Kas taotlusele vastamise eest võib tasu küsida?

Üldjuhul mitte, sest teavitamine ja meetmete võtmine on tasuta (IKÜM art 12 lg 5) [3]. Tasu võib küsida lisakoopiate eest (IKÜM art 15 lg 3) [12] ning selgelt põhjendamatu või ülemäärase taotluse korral (IKÜM art 12 lg 5) [3].

Kas igast andmelekkest tuleb teatada?

Järelevalveasutusele ei pea teatama, kui rikkumine ei kujuta tõenäoliselt ohtu inimeste õigustele ja vabadustele (IKÜM art 33 lg 1) [4], kuid rikkumine tuleb siiski dokumenteerida (IKÜM art 33 lg 5) [4].

Kas väike ettevõte peab andmekaitseametniku määrama?

Ametnik tuleb määrata näiteks siis, kui põhitegevus hõlmab ulatuslikku andmesubjektide korrapärast ja süstemaatilist jälgimist või eriliiki andmete ulatuslikku töötlemist (IKÜM art 37 lg 1 p b ja c) [27].