Inimese õiguste tagamine

Andmetega tutvumise õigus võimaldab inimesel kontrollida, kuidas andmetöötleja tema isikuandmeid kasutab.  

Kui inimene pöördub andmetöötleja poole sooviga tutvuda oma isikuandmetega, tuleb seda käsitleda kui andmetega tutvumise taotlust isikuandmete kaitse üldmääruse (IKÜM artikkel 15) alusel. Isikul on  õigus saada teavet selle kohta, kas, kuidas ja miks andmetöötleja tema isikuandmeid töötleb.  

Inimesel on õigus saada teilt kinnitus, kas te töötlete tema isikuandmeid või mitte.  

Kui vastus on jah, võib inimene küsida järgmist teavet: 

• Töötlemise eesmärgid (milleks andmeid kasutatakse). 

• Asjaomaste isikuandmete liigid (nt nimi, kontaktid, ostuajalugu). 

• Vastuvõtjad, kellele andmeid on avalikustatud, eriti kui need asuvad väljaspool Euroopa Liitu. 

• Säilitamise ajavahemik või kriteeriumid selle määramiseks. 

• Andmete allikas, kui te ei ole saanud andmeid otse inimeselt endalt. 

• Automatiseeritud otsuste tegemine, sealhulgas profiilianalüüs, ning selgitus selle loogika ja tagajärgede kohta. 

Lisaks on inimesel õigus saada koopia temaga seotud isikuandmetest, mida andmetöötleja kasutab. Üldjuhul ei tohi inimeselt tema isikuandmetega tutvumise eest tasu küsida. 

Andmetöötlejal tuleb: 

• tuvastada inimene 
  IKÜM artikli 15 alusel saab inimene taotleda ainult enda kohta andmeid, mistõttu peab taotleja isikusamasus olema tuvastatud. Lihtsaim moodus on paluda taotlus digitaalselt allkirjastada.  

• koguda kokku vajalik informatsioon
  Andmetöötleja peab kontrollima kas, kuidas ning kus on inimese andmeid organisatsioonis töödeldud. 

• pidada silmas vastamise viisi 
  Kui inimene esitab taotluse elektrooniliselt, tuleb ka teave esitada üldkasutatavate elektrooniliste vahendite kaudu, välja arvatud juhul, kui ta soovib seda teisiti ja see on mõistlik. 

Põhireegel, et taotlusele tuleb vastata põhjendamatu viivituseta, kuid hiljemalt ühe kuu jooksul pärast taotluse saamist. 

Kui taotlus on keeruline või neid on palju, võib vastamise tähtaega pikendada kuni kahe kuu võrra. Sellisel juhul peab andmetöötleja inimest tähtaja pikendamisest ja selle põhjustest esimese kuu jooksul teavitama. 

Andmetöötleja vastus taotlusele peab olema kokkuvõtlik, läbipaistev, kergesti kättesaadav ning sõnastatud selges ja lihtsas keeles.  

Vastuses on soovitav esitada:  

1. Kinnitus ja ülevaade. Kõik punktis 2 loetletud asjaolud (eesmärgid, liigid, säilitamine jne). 

2. Teave õiguste kohta. Meeldetuletus, et inimesel on õigus taotleda andmete parandamist, kustutamist, töötlemise piiramist või esitada vastuväiteid. 

3. Kaebuse esitamine. Teave õiguse kohta esitada kaebus järelevalveasutusele (Andmekaitse Inspektsioonile). 

4. Isikuandmete koopia. Inimese soovil tuleb andmetöötlejal väljastada tasuta koopia töödeldavatest isikuandmetest. 

Isikuandmete koopia väljastamine ei tohi kahjustada teiste isikute õigusi ja vabadusi. See tähendab, et kui dokumendis on teiste inimeste andmeid (nt nimed, telefonid), tuleb need enne väljastamist kinni katta või välja jätta. Välja jätmisel vms puhul on oluline, et andmetöötlejal tuleb viidata millisele õiguslikule alusele tuginedes jäetakse info (või osa infost) väljastamata (IKÜM või siseriiklik õigus) ning seda põhjendada.  

Esimene koopia väljastatavatest andmetest on alati tasuta. Kui inimene küsib lisakoopiaid, võib kaaluda küsida mõistlikku tasu halduskulude katteks. 

Kui taotlus on selgelt põhjendamatu või ülemäärane (nt korduv), on andmetöötlejal õigus keelduda, kuid sellisel juhul tuleb selle vajadust andmetöötlejal põhjendada.  

Kui andmetöötleja täidab avalikke ülesandeid, siis tuleb meeles pidada, et IKÜM artikkel 15 puudutab ainult inimese enda kohta käivaid isikuandmeid. Kui soovitakse juurdepääsu organisatsiooni dokumentidele või üldisele teabele, mis ei ole seotud taotleja isikuga, kohaldub avaliku teabe seaduse (AVTS) teabenõude kord.  

• IKÜM: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus), eriti artikkel 15, artikkel 12 ning põhjenduspunktid 38, 57, 58, 63.
   
• EAKN: Euroopa Andmekaitsenõukogu suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega.
   

• AvTS: Avaliku teabe seadus, teabenõue.  

Inimesel on õigus nõuda, et andmetöötleja parandaks (viivituseta) teda puudutavad ebaõiged isikuandmed. See tagab, et andmetöötleja käsutuses olev info on täpne ja ajakohane, vältides olukordi, kus väära info põhjal tehakse inimese kohta ebaõigeid otsuseid. Oluline on siinkohal, et parandamise nõue ei ole absoluutne ehk siis andmete parandamine ei laiene igas olukorras. Näiteks kui inimene esitab andmetöötlejale hinnangulise teabe parandamise nõude (Vt Tervishoid | Andmekaitse Inspektsioon).   

Jah, kui andmed on töötlemise eesmärki silmas pidades puudulikud, on inimesel õigus nõuda nende täiendamist. Selleks võib inimene esitada andmetöötlejale täiendava selgituse, mis tuleb lisada olemasolevatele andmetele. Andmetöötlejal tuleb taotlusele anda oma seisukoht.  

Andmetöötleja peab ebaõiged andmed parandama põhjendamatu viivituseta. Tavapäraselt tuleb taotlusele vastata hiljemalt ühe kuu jooksul, kuid keerukamate palvete puhul võib seda tähtaega pikendada veel kahe kuu võrra, teavitades inimest pikendamise põhjustest kuu jooksul. 

Jah, andmetöötlejal on kohustus teavitada igat vastuvõtjat, kellele isikuandmeid on edastatud, tehtud parandustest või täiendustest. Sellest teavitamisest võib loobuda üksnes juhul, kui see ei ole võimalik või nõuab andmetöötlejalt ebaproportsionaalselt suuri pingutusi.  

Üldjuhul peab andmete parandamine ja sellega seotud teavitamine olema inimese jaoks tasuta. Andmetöötleja võib küsida mõistlikku tasu või keelduda parandamisest vaid juhul, kui inimese taotlused on selgelt põhjendamatud või ülemäärased (näiteks korduvad lühikese aja jooksul), kuid sellisel juhul peab andmetöötleja suutma seda põhjendamatust ise tõendada. 

See on inimese õigus nõuda, et andmetöötleja kustutaks teda puudutavad isikuandmed põhjendamatu viivituseta. Andmetöötlejal on kohustus andmed kustutada, kui esineb üks määruses sätestatud alustest, näiteks kui andmeid pole enam algsel eesmärgil vaja või inimene võtab tagasi oma nõusoleku ja puudub muu seaduslik alus töötlemiseks. 

Inimene saab taotleda, et andmetöötleja kustutaks teda puudutavad isikuandmed järgmistel juhtudel: 

• andmed pole enam vajalikud eesmärgil, milleks need koguti; 

• inimene võtab nõusoleku tagasi ja muud alust (nt leping, seadus) andmete hoidmiseks pole; 

• inimene esitab vastuväite andmete töötlemisele; 

• andmeid on töödeldud ebaseaduslikult; 

• andmeid koguti lapsele suunatud infoühiskonna teenuse pakkumisel.

Jah, õigus andmete kustutamisele ei ole absoluutne. Andmetöötleja ei pea andmeid kustutama juhul, kui isikuandmete töötlemine on vajalik: 

• sõna- ja teabevabaduse kasutamiseks; 

• andmetöötlejale seadusega pandud juriidilise kohustuse täitmiseks või avalikes huvides oleva ülesande täitmiseks; 

• rahvatervise valdkonnas; 

• avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistika jaoks; 

• õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. 

Kui andmetöötleja on isikuandmed avalikustanud (nt oma veebilehel) ja andmetöötlejal on kohustus need andmed kustutada, siis tuleb võtta tarvitusele mõistlikud abinõud (sh tehnilised meetmed), et teavitada ka teisi andmetöötlejaid inimese soovist kustutada lingid, koopiad või kordused neist andmetest. Seejuures tuleb arvestada kättesaadavat tehnoloogiat ja rakendamise kulusid. 

Vastata tuleb põhjendamatu viivituseta, kuid hiljemalt ühe kuu jooksul pärast taotluse saamist. Keerukate taotluste puhul võib seda tähtaega pikendada kahe kuu võrra, kuid inimest tuleb taotlusele vastamise pikendamisest teavitada. Üldjuhul tuleb taotlus täita tasuta, kuid kui taotlused on selgelt põhjendamatud või ülemäärased (nt korduvad), võib küsida mõistlikku tasu või meetmete võtmisest keelduda. Sellisel juhul peab andmetöötleja tõendama, et taotlus on põhjendamatu või ülemäärane. 

Kui andmetöötleja otsustab taotlust mitte täita ja töötlemise jätkamiseks on õiguslik alus (näiteks raamatupidamisseaduse alusel vms), tuleb sellest teatada inimesele viivituseta ning põhjendada hiljemalt ühe kuu jooksul. Samuti on andmetöötlejal kohustus selgitada inimesele õigust esitada kaebus järelevalveasutusele (Andmekaitse Inspektsioonile) ja kasutada õiguskaitsevahendeid. 

Taotleja isiku tuvastamiseks tuleb kasutada kõiki mõistlikke meetmeid. Kui andmetöötlejal on põhjendatud kahtlus taotluse esitaja isiku suhtes, on olemas selge õigus ja kohustus, küsida täiendavat teavet isiku tuvastamiseks. Oluline on seejuures siiski meeles pidada, et ükski andmetöötleja ei tohiks säilitada isikuandmeid üksnes selleks, et suuta reageerida võimalikele päringutele. 

See on inimese õigus nõuda, et andmetöötleja lõpetaks ajutiselt inimese andmete töötlemise, kuid jätaks need andmed alles. Seda võib võrrelda "pausinupuga" olukorras, kus andmeid ei tohi kustutada, aga nendega ei tohi teha ka ühtegi tavapärast töötlemise toimingut (nt saata pakkumisi või analüüsida profiili), välja arvatud nende säilitamine. 

Inimesel on õigus nõuda oma isikuandmete töötlemise piiramist: 

• andmete õigsuse kontrollimise ajaks.  

Kui inimene väidab, et andmed on valed, on andmetöötlejal kohustus töötlemine peatada seni, kuni andmetöötleja on andmete õigsust kontrollinud. 

• Kui isikuandmete töötlemiseks puudub õiguslik alus. Kui selgub, et andmete töötlemine on ebaseaduslik, aga inimene ei soovi andmete kustutamist, vaid ainult nende kasutamise piiramist. 

• Kui andmeid on vaja õigusnõude jaoks. Andmetöötleja ei vaja andmeid enam algsel eesmärgil, kuid inimene vajab neid oma õiguste kaitsmiseks (näiteks kohtusse pöördumiseks).  

• Vastuväite menetlemise ajaks. Kui inimene on esitanud vastuväite oma andmete kasutamisele, peab andmetöötleja isikuandmete töötlemist piirama seni, kuni kontrollitakse, kas andmetöötleja õigustatud huvi on olulisem kui inimese huvid. 

Piiramine tähendab, et andmed peavad olema süsteemis selgelt märgistatud, et vältida nende edasist kasutamist. Praktikas võib see tähendada andmete muutmist kasutajatele kättesaamatuks (nt peitmisega) või avaldatud andmete ajutist kõrvaldamist.  

Pärast piirangu seadmist on andmete töötlemine üldjuhul keelatud. Andmeid tohib vaid säilitada (serveris hoida).  

Erandkorras tohib andmeid muul viisil kasutada vaid siis, kui: 

• inimene annab selleks oma selge nõusoleku; 

• see on vajalik õigusnõuete koostamiseks, esitamiseks või kaitsmiseks; 

• see on vajalik teise isiku õiguste kaitseks või seoses olulise avaliku huviga. 

Jah. Kui andmetöötleja on piiratud andmeid varem kellelegi edastanud (nt volitatud töötlejale või partnerile), on andmetöötlejal kohustus teavitada igat vastuvõtjat rakendatud piirangust. Sellest kohustusest vabaneb vaid juhul, kui teavitamine ei ole võimalik või nõuab ebaproportsionaalselt suuri pingutusi.  

Vastata tuleb põhjendamatu viivituseta, kuid hiljemalt ühe kuu jooksul alates taotluse saamisest. Piirangu seadmine ja sellega seotud teavitamine peab olema tasuta. Tasu võib küsida või taotlusest keelduda vaid siis, kui nõue on ilmselgelt põhjendamatu või ülemäärane (nt korduv).  

Kui piiramise põhjus langeb ära (nt andmetöötleja on kontrollinud, et andmed on tegelikult õiged), on andmetöötlejal õigus piiramine lõpetada. Oluline on meeles pidada, et andmetöötleja peab inimest enne piirangu lõpetamist kindlasti teavitama ning oma otsust põhjendama.  

See on inimese õigus saada andmetöötlejalt teda puudutavaid ja inimese enda poolt esitatud isikuandmeid struktureeritud, üldkasutatavas vormingus ning masinloetaval kujul. Samuti annab see inimesele õiguse edastada need andmed takistamatult teisele andmetöötlejale.  

See õigus on loodud selleks, et soodustada konkurentsi ja teenusepakkujate vahetamist, andes inimesele suurema kontrolli oma andmete üle. 

Andmetöötlejal on kohustus andmeid üle kanda vaid siis, kui on täidetud kolm eeldust:  

1.  töötlemine põhineb inimese nõusolekul või lepingul; 
2. andmeid töödeldakse automatiseeritult; 
3. inimesed on andmed ise esitanud.  

See õigus ei puuduta andmeid, mida andmetöötleja ise eespool nimetatud andmete põhjal loob. 

Jah, kui inimene seda nõuab ja see on tehniliselt teostatav, on tal õigus nõuda, et andmetöötleja edastaks inimese enda isikuandmed otse teisele andmetöötlejale. Seejuures julgustatakse andmetöötlejaid arendama koostalitlevaid vorminguid, mis sellist ülekandmist võimaldavad. Siiski ei tekita see õigus andmetöötlejatele kohustust võtta kasutusele või hoida töös tehniliselt ühilduvaid andmetöötlussüsteeme teiste andmetöötlejatega.  

Andmed tuleks väljastada struktureeritud, laialdaselt kasutatavas, masinloetavas ja koostalitlevas vormingus. See tähendab, et andmed peavad olema tarkvaraga töödeldavad, mitte pelgalt loetavad (näiteks PDF-pilt ei pruugi olla piisav, kui see ei võimalda andmete masinloetavat töötlemist). Eesmärk on, et teine teenusepakkuja saaks need andmed oma süsteemi hõlpsasti, ent turvaliselt, sisse lugeda. 

Ei, andmete ülekandmise õiguse rakendamine ei tähenda automaatselt andmete kustutamist ega lõpeta nendega seotud tegevuste, näiteks lepingu, täitmist. See õigus ei piira inimese õigust nõuda hiljem andmete kustutamist, kuid see ei tähenda ka seda, et andmetöötlejal tuleb kustutada andmed, mis on veel vajalikud (mh poolelioleva lepingu täitmiseks). Andmete ülekandmine ja kustutamine (õigus olla unustatud) on kaks eraldiseisvat õigust. 

Siinkohal tuleb silmas pidada sarnaselt teiste õiguste teostamisele, et andmete ülekandmise õigus ei tohi kahjustada teiste isikute õigusi ja vabadusi. Kui ülekantavad andmed puudutavad peale taotleja ka teisi inimesi, tuleb andmetöötlejal hinnata, kas nende andmete edastamine kahjustab kolmandate inimeste määrusest tulenevaid õigusi. See on eriti oluline teenuste puhul, kus andmed on omavahel põimunud, näiteks suhtlusvõrgustikes või pangaväljavõtetes. 

Taotlusele tuleb vastata põhjendamatu viivituseta, kuid mitte hiljem kui ühe kuu jooksul pärast taotluse saamist. Keerukamate juhtude puhul võib seda tähtaega pikendada kahe kuu võrra, teavitades sellest inimest ühe kuu jooksul. 

Andmete väljastamine ja ülekandmine peab olema andmesubjektile tasuta. Tasu võib küsida vaid juhul, kui taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu. Tasu küsimist tuleb andmetöötlejal põhjendada. 

Sisuliselt annab see inimesele võimaluse öelda andmetöötlejale „stopp“ ja nõuda oma isikuandmete töötlemise lõpetamist. Seejuures tuginedes oma konkreetsele ning põhjendatud olukorrale. Erinevalt andmete kustutamisest ei pruugi vastuväide alati tähendada andmete täielikku eemaldamist süsteemist, vaid just konkreetse tegevuse (nt profileerimise) lõpetamist. 

Ei, see õigus ei ole absoluutne. Inimene saab vastuväidet kasutada vaid siis, kui organisatsioon töötleb andmeid õigustatud huvi (nt turvalisuse tagamine, teenuse arendamine) või avaliku ülesande alusel.  

Kui andmete töötlemine on vajalik lepingu või seadusest tuleneva kohustuse täitmiseks, siis tavapäraselt vastuväite esitamise õigus sellisel kujul ei rakendu. Nõusoleku puhul võib inimene selle lihtsalt tagasi võtta.

Kui otseturunduse pakkumise õiguslik alus on nõusolek ja kui inimene teatab, et ta ei soovi enam saada reklaampakkumisi või olla kaasatud turunduslikku profileerimisse, on see õigus absoluutne. See tähendab, et andmetöötlejal ei ole siin kaalumisruumi ning isikuandmete töötlemine tuleb turunduslikul eesmärgil kohe lõpetada.  

Teiste juhtumite puhul (v.a otseturundus) saab töötlemist jätkata vaid siis, kui andmetöötleja suudab tõendada, et töötlemiseks on olemas mõjuvad õiguspärased põhjused, mis kaaluvad üles inimese huvid, õigused ja vabadused. Samuti võib olla alus töötlemist jätkata, kui see on vajalik õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. 

Andmetöötlejal on kohustus juhtida inimese tähelepanu sellele õigusele hiljemalt esimese suhtluse ajal. See teave peab olema esitatud selgelt ja eraldi igasugusest muust teabest, näiteks ei tohi see olla peidetud pika kasutamistingimuste teksti sisse. 

Vastuväite esitamine ja selle menetlemine peab olema inimesele tasuta. Tasu võib küsida või taotlusele vastamisest saab keelduda vaid siis, kui taotlus on selgelt põhjendamatu või ülemäärane (nt korduvad), kuid sellisel juhul lasub tõendamiskohustus andmetöötlejal.  

Taotlusele tuleb vastata põhjendamatu viivituseta, kuid hiljemalt ühe kuu jooksul alates selle kättesaamisest. Kui tegemist on väga mahuka või keerulise taotlusega, võib andmetöötleja vastamise tähtaega pikendada veel kahe kuu võrra, kuid viivitusest ja selle põhjustest tuleb inimest teavitada esimese kuu jooksul.

Automatiseeritud otsuste puhul, mis toob kaasa inimest puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju, on inimesel õigus, et tema kohta ei võetaks vastu otsust, mis põhineb üksnes automatiseeritud töötlusel. Erandiks saavad olla juhtumid, kus automatiseeritud otsus põhineb konkreetsel seadusel, inimese nõusolekul ning teatud juhtumitel lepingu sõlmimiseks või täitmiseks.  

Olukorras, kus selline andmetöötlus ei too kaasa õiguslikku tagajärge või automatiseeritud otsusel puudub märkimisväärne mõju, siis keeld puudub.  

AKI on küsimust käsitlenud ka siin: Teadlikkus ja inimese õigused | Andmekaitse Inspektsioon.