1. peatükk - Andmetöötleja peamiste kohustuste nimekiri

Andmetöötleja lähtub andmete töötlemisel:

-seaduslikkuse, õigluse ja läbipaistvuse põhimõttest;
-eesmärgi piirangu põhimõttest;
-võimalikult väheste andmete kogumise põhimõttest;
-õigsuse ehk andmekvaliteedi põhimõttest;
-säilitamise piirangu põhimõttest;
-usaldusväärsuse (konfidentsiaalsuse) põhimõttest;
-vastutuse põhimõttest.

Andmetöötleja määrab andmekaitsespetsialisti, kui ta:

-on avaliku sektori asutus või organ, sh avalikke ülesandeid täitev eraõiguslik isik;
-põhitegevuseks on inimeste ulatuslik korrapärane ja süstemaatiline jälgimine;
-põhitegevuseks on eriliiki isikuandmete või süüteoandmete ulatuslik töötlemine.

Andmetöötleja teeb avalikult kättesaadavaks andmekaitsespetsialisti kontaktandmed ja esitab need ka andmekaitseasutusele. Eestis saab mõlemat korraga teha äriregistri kaudu.

1. Vastutav töötleja dokumenteerib kõik isikuandmetega seotud rikkumised, sh asjaolud, mõju ja parandusmeetmed.

2. Vastutav töötleja teavitab isikuandmetega seotud rikkumisest andmekaitseasutust 72 tunni jooksul (v.a. juhul, kui rikkumine ei kujuta inimesele ohtu).

3. Vastutav töötleja teavitab viivitamatult inimesele tema andmetega seotud rikkumisest, kui see kujutab endast suurt ohtu (v.a. juhul, kui andmed on muudetud loetamatuks või võetud muud kahju leevendavad meetmed või kui teavitamine nõuab ebamõistlikke pingutusi – viimasel juhul asendatakse isiku teavitamine avaliku teadaandega).

Vastutav töötleja hindab ja dokumenteerib enne tõenäoliselt suurt ohtu põhjustava andmetöötlusega alustamist selle mõju ning enda tegevuse. Iseäranis on suure ohuga tegemist, kui:

-toimub süsteemne ulatuslik automatiseeritud hindamine/profileerimine, millel on inimese jaoks õiguslikud tagajärjed või oluline mõju;
-eriliiki või süüteoandmeid töödeldakse ulatuslikult;
-avalikke alasid jälgitakse ulatuslikult.

Andmete edastamisel väljapoole Euroopa majanduspiirkonda tuleb jälgida, kas tegemist on piisava või mittepiisava andmekaitsetasemega riigiga²⁰ Piisava andmekaitsetasemega kolmandate riikide nimekiri on Euroopa Komisjoni võrgulehel.

Mittepiisava andmekaitsetasemega kolmandasse riiki isikuandmed edastades tuleb rakendada üldmääruse artikli 46 kohaseid kaitsemeetmeid. Üldmääruse artikkel 49 reguleerib erandjuhtumid, mil võib isikuandmeid kolmandasse riiki edastada ilma vastavaid kaitsemeetmeid rakendamata.

Õiguskaitseasutuste andmekaitsedirektiivi kohased isikuandmete edastamise nõuded on toodud IKS §-des 46- 50. Kolmandatesse riikidesse edastamise lähemaid reegleid käesolevas üldjuhendis ei käsitleta. See info on Euroopa Komisjoni võrgulehel, samuti Euroopa andmekaitsenõukogu võrgulehel