Märgukiri autode Müügi- ja Teenindusettevõtete Liidule ja Autode Keretöökodade Alaliidule (2025)

Menetlustest on ilmnenud, et kuigi ettevõtted töötlevad oma tegevuse käigus erinevaid isikuandmeid, siis reeglite tundmine, kuidas andmetega ümber käia on puudulik. See tähendab muuhulgas seda, et ettevõtted ei jaga inimestele vajalikku teavet nende andmetöötluse kohta ning inimestel pole aimugi, kas nende andmeid töödeldakse turvaliselt ja eesmärgipäraselt. Ettevõtted vastutavad enda tegevuse raames toimuva andmetöötluse eest, mistõttu pidasime vajalikuks selgitada üle peamise, mida isikuandmete töötlejal tuleb teada ennem kui isikuandmeid asutakse töötlema. Palume, et liidud edastaks märgukirja oma liikmetele.

Ettevõttel, kes töötleb isikuandmeid, tuleb:

• selgitada välja, kas ja milliseid isikuandmeid, millistel õiguslikel alustel ja eesmärkidel on vaja eesmärgi täitmiseks töödelda ehk siis tuleb koostada andmetöötlustoimingute ülevaade;
• veenduda, et inimesed, kelle erinevaid andmeid kasutatakse, on sellest teadlikud ja et oleks ka nende jaoks selge, kuidas nende kohta kogutud teavet töödeldakse (läbipaistvus) ehk siis tuleb koostada andmekaitsetingimused;
• küsida nõu õigusnõustajalt või keerulisematel juhtudel Andmekaitse Inspektsioonilt ning vajadusel muuta senist praktikat kui isikuandmete töötlemises esineb puudujääke;
• pöörata suuremat tähelepanu andmeturbele. Andmekaitse on vundament, mille katus on infoturve;
• hoida ennast kursis riigisiseselt kehtestatavate andmekaitseliste muudatustega. Ajakohast infot leiab Andmekaitse Inspektsiooni veebilehelt;  
• teada andmetöötluse reegleid, sest reeglite mittetundmine ei vabasta andmetöötlejat seadusest tulenevast vastutusest.

Kuna andmetöötlejad (sh ettevõtted vastutavad nende andmete eest, mida nad töötlevad (sh koguvad, säilitavad, edastavad jne), siis pidasime vajalikuks koostada üldise nimekirja vajalikust, mida tuleb igal isikuandmete töötlejal teada.

1. Mis on isikuandmed?

Isikuandmed on kõik andmed üksikuna või kogumis, mille kaudu inimene on otseselt või kaudselt äratuntav, näiteks nimi, isikukood, asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud, kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende kombinatsioonid kombinatsioonid¹ Ehk siis kui inimene on tuvastatav läbi mingite parameetrite, siis saab neid andmeid lugeda isikuandmeteks. Isikuandmete kaitse reeglid ei kehti kui teave ei võimalda isikut mõistlike pingutustega tuvastada tuvastada².

Tuleb arvestada, et isikuandmed on ainult füüsilisel isikul juriidilisel isikul puudub eraelu ning seega ka isikuandmed, seetõttu ei kohaldu ka andmekaitsereeglid. Kui ettevõttes on töötajad, ettevõte osutab teenuseid füüsilistele isikutele vms, siis võib juba eeldada, et töödeldakse isikuandmeid, mistõttu tuleb täita kohastes seadustes sätestatud
isikuandmete kaitse nõudeid.

2. Isikuandmete töötlemise üldised põhimõtted

Isikuandmete kaitse nõuded Eestis on sätestatud peamiselt Isikuandmete kaitse üldmääruses (IKÜM või inglise keeles ka GDPR ) ning isikuandmete kaitse seaduses. Siinkohal räägimegi füüsiliste isikute isikuandmete töötlemisest.

IKÜM³ sätestab, et isikuandmete töötlemine peab olema seaduslik ja andmesubjektile läbipaistev; samuti tohib isikuandmeid töödelda (sh koguda, edastada jne) üksnes kindlaksmääratud õiguspärastel eesmärkidel eesmärkidel⁴ ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid andmeid⁵.

Ehk siis igasugusel isikuandmete töötlemisel tuleb silmas pidada, et andmetöötleja vastutab kohase andmetöötluse eest ning peab järgima muuhulgas seaduslikkuse, läbipaistvuse, minimaalsuse, eesmärgipärasuse, õigsuse, säilitamise piirangu, usaldusväärsuse ning konfidentsiaalsuse põhimõtteid.

Näiteks viitab korrektselt koostatud dokumentatsioon, kus on kirjas teave isikuandmete töötlemise kohta, et ettevõte soovib olla läbipaistev ning seeläbi usaldusväärne partner.

3. Isikuandmete töötlemiseks peab olema õiguslik alus

Isikuandmete töötlemise õiguslike aluste loetelu on sätestatud IKÜM artiklis 6. Seda, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜMi⁶ kohaselt selgitama ja tõendama iga andmetöötleja ise vastavalt töödeldavatele andmetele. Kui õiguslik alus isikuandmete töötlemiseks puudub, siis andmeid töödelda (sh koguda, edastada, salvestada vms) ei tohi. Niisama ja igaks juhuks andmeid töödelda, sh koguda selleks et ehk hiljem on tarvis, ei ole lubatud.

4. Andmete täpsus ja ajakohasus

Andmetöötleja peab tagama, et töödeldavad isikuandmed oleksid täpsed ja ajakohased. Kui andmed on ebatäpsed või puudulikud, tuleb need viivitamatult parandada või kustutada.

5. Andmetöötlustoimingute ülevaade

Kuivõrd andmetöötluse seisukohalt on tähtis, et andmetöötlejal oleks ülevaade oma töödeldavatest andmetest, siis peab ta kaardistama oma andmetöötlustoimingud. Nimetame selle tulemusena valminud dokumenti isikuandmete töötlemisülevaateks või andmetöötluse toimingute ülevaateks7. Töötlemise ülevaatest saab täpsemalt lugeda AKI koostatud isikuandmete töötleja üldjuhendi peatükist 4.

6. Andmekaitsetingimused

Oluline on, et enne andmete kogumist tuleb andmetöötluse läbipaistvuse kontrollimiseks andmetöötlejal koostada andmekaitsetingimused , kus selgitatakse, milliseid andmeid, millisel eesmärgil ning õiguslikul alusel töödeldakse. Andmekaitsetingimused on kirjeldus, mis aitab inimesel omada ülevaadet, mida tema andmetega tehakse. Seetõttu on oluline, et andmekaitsetingimused oleksid sõnastatud lihtsalt ja inimesele arusaadavalt ning need peavad olema kättesaadavad tasuta ja inimesele hõlpsasti leitavad (näiteks ettevõtte veebilehel).

Andmetöötleja saab andmekaitsetingimustele tuginedes paremini kontrollida oma andmetöötluse protsesse. Mida läbipaistvam on ettevõtte andmetöötlus, seda enam peegeldub see andmekaitsetingimustest. Seda, millistele küsimustele peab vastama ettevõtte läbipaistvust peegeldav andmekaitsetingimuste dokument, saab põhjalikumalt lugeda AKI isikuandmete töötleja üldjuhendist.

7. Turvalisus isikuandmete töötlemisel ning kohustus inimesi teavitada andmelekke korral

Iga andmetöötleja peab isikuandmete töötlemisel järgima määruses määruses⁸ sätestatud põhimõtteid, vastutama nende põhimõtete täitmise eest ja olema võimeline nende täitmist tõendama tõendama⁹.

Eelviidatud põhimõtete juurde kuulub ka kohustus töödelda isikuandmeid viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid meetmeid^10.

Isikuandmete töötlemisel (sh kogumisel, säilitamisel, edastamisel vms) peab eelkõige jälgima kõige tavapärasemaid turvameetmeid. Näiteks tuleb teha nii, et andmed ei jõuaks õigustamata isikute kätte (igasugused andmelekked, mis tulenevad ebapiisava turvalisega süsteemidest, õigustamata edastamised vms).  

Kui andmetöötleja saab teada, et on toimunud õigustamatu andmetöötlus (turvarikkumine, andmeleke vms), peab ettevõte sellest teavitama 72 tunni jooksul Andmekaitse Inspektsiooni, rohkem informatsioon selle kohta leiab AKI veebist rikkumisteadete artiklist ja uudistest.

8. Andmesubjekti ehk inimeste õigused, millega andmetöötlejal tuleb arvestada

Kui isik soovib infot oma isikuandmete töötlemise kohta, siis on tal õigus pöörduda andmetöötleja poole. Inimesel on muuhulgas õigus nõuda näiteks, lisaks andmetega tutvumisele, isikuandmete parandamist, kustutamist, piiramist ja ka ülekandmist. Täpsemalt saab isiku õiguste kohta lugeda AKI veebilehelt isikuandmed inimese õigused rubriigist.

Oluline on meeles pidada, et ettevõte peab inimese pöördumisele, kas nõue täidetakse või mitte, vastama kuu jooksul. Keeldumist peab põhjendama. Kui selgitusi ei anta või need ei ole selged ning piisavad, siis saab andmesubjekt vajadusel pöörduda Andmekaitse Inspektsiooni.

9. Kasulikke viiteid andmetöötlejale

9.1 Andmekaitse Inspektsiooni veebilehel avaldatud korduma kippuvad küsimused KKK );

9.2 Andmekaitse Inspektsiooni isikuandmete töötlemise üldjuhend. Juhendis on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma. Samuti leiab informatsiooni
andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel.

9.3 Kui ettevõttel on vaja konkreetsemat õiguslikku abi ja seisukohta lähtuvalt konkreetsetest asjaoludest, siis tuleb pöörduda õigusnõustajate (advokaadid, juristid) poole, kes saavad aidata korrektse dokumentatsiooni koostamisel.

9.4 Informatsiooni, kuidas olla IT vaatlik, leiab ka ole ka it-vaatlik lehelt.

9.5 Andmetöötlejal on võimalus tellida Andmekaitse Inspektsiooni uudiskiri, et olla kursis aktuaalsete andmetöötluse uudistega. 

9.6 Käimas on AKI tasuta koolitused väikestele ja keskmise suurusega ettevõtetele, mille kohta saab teavet ning registreeruda AKI veebilehel.

¹ Vt üldmääruse art. 4 p.1; direktiivi art. 3 p. 1.
² Vt üldmääruse põhjenduspunkt 26 ja 57 ning art. 11; direktiivi pp. 21.
³ IKÜM art 5 lg 1 p a.
⁴ IKÜM art 5 lg 1 p b.
5 IKÜM art 5 lg 1 p c.
⁶ IKÜM art 5 lg 2.
⁷ IKÜM artikkel 30.
⁸ IKÜM artiklis 5 lõikes 1
⁹ IKÜM artikkel 5 lg 2 10 IKÜM art 5 lg 1 p f- „usaldusväärsus ja konfidentsiaalsus“