Ühendatud toode ja seotud teenus
Andmemäärus annab tarbijatele ja muudele kasutajatele õiguse saada juurdepääs andmetele, mida nende kasutatav ühendatud toode (nt nutiseade, sõiduk, turvakaamera) loob. Selliste seadmete andmed võivad sisaldada ka isikuandmeid, mistõttu tuleb nende töötlemisel arvestada isikuandmete kaitse üldmäärusega (üldmäärus).
Ühendatud tooted tähendab tooteid, mis saavad, loovad või koguvad oma komponentide või operatsioonisüsteemide abil andmeid toote toimivuse, kasutamise või keskkonna kohta ning mis on võimelised edastama kõnealuseid andmeid elektroonilise sideteenuse, füüsilise ühenduse või sisseehitatud juurdepääsu kaudu, mida sageli nimetatakse asjade internetiks (IoT). Selliste elektroonilise side teenuste hulka kuuluvad näiteks maapealsed telefonivõrgud, televisiooni kaabelvõrgud, satelliidipõhised võrgud (nt GPS) ja lähiväljaside võrgud (NFC).
Ühendatud tooted ei ole tooted, mille funktsiooniks on peamiselt andmete kogumine, töötlemine või edastamine (nt serverid ja ruuterid).
Mis andmetele andmemäärus kohaldub?
Andmemäärus ei kohaldu vaid tahtlikult salvestatud andmetele, vaid ka kaudselt tuletatud andmetele. Näiteks kui on olemas kodune turvakaamera, salvestab kaamera liikumise koos ajatempliga (tahtlikult salvestatud), aga samas võib kaamera tuletada ka aktiivsemat kodusveetmise aega (kaudselt tuletatud).
Sarnaselt kohaldub andmemäärus ka nii toorandmetele kui ka eeltöödeldud andmetele. Näiteks võib toatemperatuuri andur koguda andmeid igal sekundil (toorandmed) kui ka arvutada välja 10 minuti keskmine toatemperatuur (eeltöödeldud andmed).
Mõistet „eeltöödeldud andmed“ ei tohiks tõlgendada nii, et see kohustaks andmevaldajat tegema märkimisväärseid investeeringuid andmete puhastamisse ja teisendamisse.
Viimaseks kohaldub andmemäärus ka metaandmetele, milleks on näiteks ajatempel.
Eeltöödeldud andmete mõistet ei tohiks siiski mõista nii, et andmevaldaja peaks tegema ulatuslikke täiendavaid investeeringuid andmete puhastamiseks, ümberkujundamiseks või muul viisil ettevalmistamiseks. Määrus lähtub pigem andmetest, mis on andmevaldaja jaoks juba olemasoleval kujul kättesaadavad.
Andmemääruse II peatüki kohaldamisalast jäävad üldjuhul välja järeldatud või tuletatud andmed ning tugevalt rikastatud andmed. Samuti ei hõlma see loomingulist või audiovisuaalset sisu kui sellist. Määrust kohaldatakse lisaks intellektuaalomandiõigusi kahjustamata.
-
Ühendatud toodete tootjatele ja tarnijatele. Tootjad peavad tagama, et toote või teenuse kasutamise käigus tekkinud andmed oleksid määruses sätestatud tingimustel kättesaadavad.
-
Seotud teenuse osutajatele. Teenuseosutajatel on sarnaselt ühendatud toodete tootjatele kohustus võimaldada andmetele ligipääsu.
-
Andmevaldajatele. Andmevaldaja ei pea olema tootja või teenuseosutaja, vaid näiteks platvorm, kes andmeid haldab. Andmevaldajal on andmemääruse kohaselt kohustus teha toote kasutamisel loodud andmed ja seotud teenuse kasutamisel loodud andmed kasutajale kättesaadavaks.
-
Kolmandad isikutele. Andmevaldajal on kohustus kasutaja taotlusel teha andmed kättesaadavaks kolmandatele isikutele. Selline kolmas isik ei tohi siiski olla digiturgude määruse tähenduses pääsuvalitseja. Kolmas isik ei tohi kasutada andmeid näiteks sellise toote välja töötamiseks, mis konkureerib ühendatud tootega, millest andmed pärinevad.
-
Andmetöötlusteenuse osutajatele. Viimati nimetatud teenuse osutajad peavad tagama, et kliendid võivad minna üle andmetöötlusteenusele, mida osutab teine andmetöötlusteenuse osutaja. Üleminekuks ei ole teenuseosutajal õigus kasutada tõkendeid.
Väikesed ja keskmise suurusega ettevõtted (SME) ei ole kohustatud tagama andmetele juurdepääsu. Selline kohustus ei laiene sellistele SMEdele, kes on osa suuremast kontsernist.
Andmetele on õigus juurde pääseda ühendatud toote kasutajal.
Euroopa Komisjoni selgituste kohaselt ei tähenda pseudonüümimise, anonüümimise või muude privaatsust parandavate tehnoloogiate kasutamine iseenesest seda, et tegemist oleks järeldatud või tuletatud andmetega. Andmemääruse põhjenduse 15 kohaselt on järeldatud või tuletatud andmete kaitse eesmärk kaitsta eelkõige selliseid lisainvesteeringuid, mille käigus andmetele omistatakse täiendavaid väärtusi või neist saadakse uusi teadmisi. Privaatsust parandavate tehnoloogiate kasutamise eesmärk on seevastu eelkõige võimaldada andmete kasutamist viisil, mis toetab eraelu puutumatuse ja isikuandmete kaitset.
Pseudonüümimine või anonüümimine võib olla asjakohane näiteks olukorras, kus andmevaldaja peab vastama andmemääruse artikli 4 või 5 alusel esitatud taotlusele, kuid andmete taotleja ei ole ise andmesubjekt. Samuti võib see olla oluline juhtudel, kus sama ühendatud tootega on seotud mitu andmesubjekti. Sellistes olukordades võivad privaatsust parandavad tehnoloogiad aidata kaasa sellele, et andmete kättesaadavaks tegemine toimuks kooskõlas IKÜMiga.
Samas ei tähenda anonüümimise, pseudonüümimise, krüpteerimise või muude sarnaste meetodite kasutamine automaatselt seda, et andmed jäävad andmemääruse kohaldamisalast välja või et andmevaldaja vabaneb andmete jagamise kohustusest. Selliseid meetmeid ei tohiks kasutada andmete kättesaadavaks tegemise kohustuste vältimiseks.
Kui andmeid edastatakse ühendatud tootest andmevaldaja taustsüsteemi, peaks kasutajal ja tema määratud kolmandal isikul olema mõistlik võimalus saada koopia toote kasutamise käigus tekkinud andmetest enne seda, kui andmed anonüümitakse või krüpteeritakse. Lisaks, kui andmeid on võimalik ilma märkimisväärsete süsteemimuudatuste või kuludeta uuesti seostada konkreetse kasutaja või ühendatud tootega, võib neid jätkuvalt pidada andmevaldaja jaoks hõlpsasti kättesaadavateks andmeteks.
Anonüümitud andmete puhul tuleb alati hinnata, kas andmed on tegelikult pöördumatult anonüümsed. Kui füüsilist isikut on võimalik täiendava teabe abil uuesti tuvastada, ei ole andmed anonüümsed ning neile kohaldub jätkuvalt IKÜM. Pseudonüümitud andmed jäävad üldjuhul samuti isikuandmeteks.
Ühendatud toote kasutaja võib olla ettevõtja, tarbija või avaliku sektori asutus sõltuvalt sellest, kas ta on ühendatud toote omanik; tal on teatud ajutised õigused rendi- või liisingulepingu alusel või osutab ühendatud tootega seotud teenuseid.
Mõnes olukorras võib samade andmete suhtes olla rohkem kui ühel isikul õigusi või õigustatud huve. Täpne rollijaotus sõltub siiski alati konkreetsest õiguslikust ja lepingulisest raamistikust.
Eraisikul ehk tarbijal on õigus saada juurdepääs kõikidele andmetele, mis on loodud tema isiklike toodete kasutamise käigus.
Eraisikul on õigus anda juurdepääs oma isikuandmetele kolmandatele isikutele. Kolmandad isikud võivad olla näiteks remonditöökojad, teadusasutused, meditsiiniasutused. Piiranguna ei saa kolmandateks isikuteks olla digiturgude määruses sätestatud pääsuvalitsejad (näiteks Meta, Google, TikTok).
Kui eraisik kasutab ühendatud toodet, mis ei kuulu talle, vaid mõnele ettevõtjale, on ka nimetatud ettevõtjal õigus isikuandmetele juurdepääsuks. Näiteks kasutades rendiautot lühiajalise rendilepingu alusel on andmetele juurdepääsuõigus nii eraisikul (kuivõrd tegemist on isikuandmetega) kui ka rendiauto ettevõtjast omanikul.
Ettevõtja võib osutada ka ühendatud tootega seotud teenust. Ka sellisel juhul on ettevõtjal õigus pääseda ligi andmetele. Näiteks kui eraisikul on tark kodu seinapaneel, mille kaudu on võimalik temperatuuri muuta, on ühendatud toote andmeteks temperatuuri muutmise fakt. Sellistele andmetele on teenuseosutajal ligipääsuõigus.
Avaliku sektori asutus võib saada ühendatud toote isikuandmeid näiteks juhul, kui ta on tööandja rollis. Näiteks kui avaliku sektori asutuse ametnik kasutab ametiautot, mis läheb ühendatud toote mõiste alla, on avaliku sektori asutusel õigus ka toote kasutamisel loodud isikuandmetele.
Jah, näiteks juhul, kui kasutate lühiajalise sõidu tarbeks rendiautot, on teil kui tarbijal ajutised õigused rendilepingu alusel, kuid rendiautot haldaval ettevõttel on õigused omandisuhte alusel.
Juurdepääs ühendatud toote kasutamisel loodud isikuandmetele
Kui kasutamise käigus tekkinud andmed on isikuandmed, peab nendele juurdepääs ja nende edastamine toimuma kooskõlas IKÜMiga. See tähendab muu hulgas, et järgida tuleb IKÜMi põhimõtteid, sealhulgas seaduslikkuse, läbipaistvuse, eesmärgipärasuse ja minimaalsuse põhimõtteid.
Tarbijast kasutajal peab olema võimalus ise oma isikuandmetele ligi pääseda, kuid talle peab jääma ka õigus neid edastada kolmandatele isikutele. Andmemääruse lahendus sarnaneb mõnes osas IKÜMi artiklis 20 sätestatud andmete ülekantavuse õigusega.
Andmemääruse kohaldamine ei tähenda, et kõik ühendatud toote kasutamise käigus tekkivad isikuandmed oleksid automaatselt vabalt kättesaadavad või edastatavad. Ka sellises olukorras peab isikuandmete töötlemiseks olema olemas kehtiv õiguslik alus ning hinnata tuleb ka muid IKÜMist tulenevaid nõudeid.
Kasutaja, kes on tarbija peaks saama isikuandmetele juurde pääseda lihtsa menetluse kaudu, näiteks kasutajaliidese või rakenduse abil, või esitades vastava taotluse andmevaldajale.
See, kas kasutaja, andmevaldaja või kolmas isik on konkreetses olukorras IKÜMi tähenduses vastutav töötleja või volitatud töötleja, sõltub konkreetse töötlemise faktilistest ja õiguslikest asjaoludest.
Kasutaja võib taotleda, et andmevaldaja edastaks asjaomased andmed kolmandale isikule või teeks need kolmandale isikule otse kättesaadavaks. See võimalus kehtib andmemääruse alusel ainult Euroopa Liidus asutatud kolmandate isikute suhtes.
Tarbijast kasutajal on õigus andmeid edastada kolmandatele isikutele või esitada andmevaldajale taotlus andmete edastamiseks.
Kui kasutaja ei ole ise andmesubjekt, kelle andmeid taotletakse, võib isikuandmete kättesaadavaks tegemine sõltuda näiteks sellest, kas olemas on kehtiv nõusolek või muu asjakohane õiguslik alus.
Kui tegemist on isikuandmetega, ei piisa üksnes sellest, et andmemäärus näeb ette andmete kättesaadavaks tegemise võimaluse. Isikuandmete töötlemiseks ja edastamiseks peab olema olemas ka IKÜMi kohane õiguslik alus.
Oluline on märkida, et andmemäärus ei kujuta endast isikuandmete töötlemise õiguslikku alust.
Kolmandateks isikuteks ei või olla pääsuvalitsejad digiturgude määruse alusel.
Kuigi määrus kohustab andmevaldajaid (isiku)andmeid edastama, peab igal andmeedastusel olema õiguslik alus. Näiteks võib õiguslikuks aluseks olla nõusolek.
Nõusolek võib olla andmete edastamise alus näiteks juhul, kui isikuandmeid soovib andmevaldajalt ühendatud toote kasutaja, kes ei ole tarbija. Andmevaldajal on kohustus enne andmete edastamist mõistlikul viisil nõusoleku olemasolu kontrollida.
Andmemäärus ise õiguslikku alust andmete edastamiseks ei anna.
Andmevaldajate kohustused seoses isikuandmetega
Andmevaldaja, kes valdab ühendatud toote andmeid, on kohustatud esitama enne ostu, renti või liisimist tarbijale andmed säilitatavate andmete kohta. Näiteks peab andmevaldaja teavitama, milliseid andmeid ühendatud toode suudab luua, kuidas ja kus andmeid säilitatakse ja kuidas saab andmetele juurde pääseda.
Kui andmevaldaja on seotud teenuse osutaja, peab andmevaldaja teavitama tarbijale näiteks teenuse kasutamisel loodud ja eeldatavalt saadavate andmete mahu, laadi ja kogumise sageduse.
Ettevõtted, kes valdavad seadmete või teenuste poolt loodud isikuandmeid, peavad andmete jagamisel järgima läbipaistvuse ja õigluse põhimõtteid. Kui andmed sisaldavad isikuandmeid, on kohustus tagada seaduslik alus töötlemiseks, rakendada andmekaitse põhimõtteid (nt andmete minimaalsus, eesmärgikohasus) ning anda kasutajatele selged selgitused, kuidas nende andmeid kasutatakse ja jagatakse.
Avaliku sektori erakorraline vajadus andmetele ligipääsuks
Andmemäärus võimaldab avaliku sektori asutustel teatud juhtudel, näiteks hädaolukorras või eriülesande täitmiseks, saada juurdepääsu erasektori andmetele.
Hädaolukorraks on näiteks looduskatastroofid, kliimamuutused, inimtegevusest tingitud katastroofid. Erasektoril on kohustus andmed väljastada pärast avaliku sektori põhjendatud andmete kättesaadavaks tegemise taotlust (vaata taotluse tingimusi andmemääruse artiklist 17). Hädaolukorra puhul võib avalik sektor taotleda ka isikuandmeid.
Piiriülese hädaolukorra puhul Eesti ettevõttelt andmete taotlemisel peab teise liikmesriigi avaliku sektori asutus teavitama andmete taotlemisest ka AKI-t juhul, kui taotletavad andmed sisaldavad isikuandmeid.
Eriülesande täitmiseks (ehk juhtudel, kui ei ole tegemist hädaolukorraga) isikuandmeid taotleda ei tohi.
Avaliku sektori erakorralise vajaduse puhul tehtud andmete kättesaadavaks tegemise taotlused peab andmekoordinaator internetis avalikustama.
Andmete edastamine kolmandatele riikidele
Andmemäärus sisaldab täiendavaid kaitsemeetmeid seoses juurdepääsuga isikustamata andmetele ja nende edastamisega kolmandatesse riikidesse, eelkõige andmetöötlusteenuste kontekstis. Andmemääruse enda alusel ei saa andmetele juurdepääsu anda ettevõtetele võia andmetöötlejatele, kellel puudub ELis filiaal või esindaja. Kasutaja võib paluda andmevaldajal jagada andmeid üksuse või isikuga, kellel ei ole ELis filiaali või esindajat, kuid andmevaldaja ei ole kohustatud seda juurdepääsu andma.
Kui tegemist on isikuandmetega, reguleerib nende edastamist kolmandatesse riikidesse jätkuvalt IKÜM.
Last updated: 08.04.2026