Mõisted

Isikuandmete töötlemine on igasugune andmetega tehtav toiming, mis võib hõlmata andmete kogumist, salvestamist, korrastamist, säilitamist, muutmist, juurdepääsu võimaldamist, avaldamist, avalikustamist, päringute teostamist, väljavõtete tegemist, kasutamist, edastamist, ristkasutamist, ühendamist, üleandmist, sulgemist, kustutamist või hävitamist sõltumata toimingute teostamise viisist või kasutatavatest vahenditest. 

Isikuandmete töötlemiseks peab olema õiguslik alus ning tuleb järgida isikuandmete töötlemise põhimõtteid. 

Euroopa Parlament võttis vastu isikuandmete kaitse üldmääruse (IKÜM) 2016. aasta 14. aprillil. Määrus asendas andmekaitsedirektiivi 95/46 ning seda hakati kohaldama pärast kaheaastast üleminekuaega alates 25. maist 2018.

Üleeuroopaline õigusakt on liikmesriikidele otsekohalduv, mis tähendab, et siseriiklik isikuandmete kaitse seadus ja teised õigusaktid peavad olema üldmäärusega kooskõlla viidud.

Selle määruse ametlik inglisekeelne nimi on General Data Protection Regulation ehk lühendatult GDPR. IKÜM ehk isikuandmete kaitse üldmäärus on eestikeelne tõlge Euroopa Parlamendi ja Nõukogu Määruse 2016/679 nimetusele.

IKÜM artikli 1 kohaselt on sätestatakse selle määrusega õigusnormid, mis reguleerivad füüsiliste isikute kaitset isikuandmete töötlemisel ja isikuandmete vaba liikumist ning selle eesmärk on kaitsta füüsiliste isikute põhiõigusi ja -vabadusi, eriti nende õigust isikuandmete kaitsele.

Isikuandmete kaitse üldmäärust kohaldatakse isikuandmete täielikult või osaliselt automatiseeritud töötlemise suhtes ja isikuandmete automatiseerimata töötlemise suhtes, kui kõnealused isikuandmed kuuluvad andmete kogumisse või kui need kavatsetakse andmete kogumisse kanda (IKÜM artikkel 2 lõige 1). 

Isikuandmete kaitse üldmäärust ei kohaldata ja isikuandmete kaitse reeglid ei kehti järgmistel juhtudel:

• Kui tegu on juriidilise isiku või asutuse andmetega.

Isikuandmete kaitse üldmääruse artikkel 1.

• Kui teave ei võimalda inimest mõistlike pingutustega tuvastada.

Näiteid

Üks eraisik ei tea reeglina teise eraisiku arvuti IP-aadressi või muud võrguidentifikaatorit, seevastu sideettevõte tunneb nende järgi oma kliendid ära.

Fail patsientide terviseandmetega on kas krüptitud või on nimed asendatud kas varjunimede või suvaliste numbritega. Sellele, kes saab faili lahti krüptida või kes oskab varjunimesid pärisnimedega asendada, on tegu isikuandmetega. Sellele, kes ei saa seda teha, ei ole tegu isikuandmetega

Erinevalt e-posti aadressist eesnimi.perenimi@ettevõttenimi.ee ei sisalda aadress myygimees@ettevõttenimi.ee võõraste jaoks isikuandmeid. Kui aga ettevõtte sees on teada, et seda aadressi saab kasutada vaid üks konkreetne töötaja, siis teadjate jaoks on tegu isikuandega. Siin isikuandmete kaitse reeglid kehtivad. Isikuandmete kaitse üldmääruse sissejuhatuse põhjenduspunkt 26 ja 57 ning artikkel 11.

• Kui isikuandmeid ei töödelda automatiseeritult ning neist ei tehta ka andmekogumit.

Näiteid

Patsientide nimekirja peetakse arvutifailis – see tähendab automatiseeritud andmetöötlust, seega isikuandmete kaitse reeglid kehtivad.

Õpilaste nimed ja õpitulemused märgitakse paberkausta, nimed on järjestatud tähestikuliselt ning õpitulemused märgitud nimede juurde ajalises järjestuses. Automatiseeritud andmetöötlust ei ole, kuid tegu on korrastatud andmekogumiga. Seega isikuandmete kaitse reeglid kehtivad.

Nimesid ja äratuntavaid näokujutisi sisaldav graffiti majaseintel ei ole automatiseeritud andmetöötlus ega ka andmekogum, seega isikuandmete kaitse reeglid ei kehti. Inimene, keda graffiti sisu kahjustab (näiteks teotab tema au ja head nime), saab esitada nõudeid võlaõigusseadusele, mitte isikuandmete kaitse üldmäärusele tuginedes.

Elulooraamat kajastab nii peategelase kui paljude teiste reaalseid eluloosündmusi. Automatiseeritud andmetöötlust ega andmekogumit pole, seega isikuandmete kaitse reeglid ei kehti.

• Kui isikuandmeid kasutatakse isiklikul otstarbel või kodumajapidamise tarvis. 

Näiteid

Inimese isiklik telefoniraamat tuttavate kohta – olgu pabermärkmikuna või arvutis – on isiklikul eesmärgil andmetöötlus, isikuandmete kaitse reeglid ei kehti.

Sugulaste nimekiri suguvõsa kokkutuleku korraldamiseks on mitme inimese isiklikul eesmärgil toimuv andmetöötlus senikaua, kuni see on suguvõsa-siseses kasutuses ehk suletud grupis. Kui nimekirja hakatakse jagama ettevõtetega ja kasutama näiteks ärilise reklaami saatmiseks, siis ei ole enam tegu isikliku otstarbega.

Sama kehtib arutelu kohta suhtlusvõrgustiku rühmas, mille liikmeks on eraisikud. See on mitme inimese isiklikul eesmärgil toimuv andmetöötlus, isikuandmete kaitse reeglid ei kehti. Kui rühmaga liituvad ettevõtted või kui suhtlus on rühmaliikmete ameti- või äritegevuse osaks, siis ei ole enam tegu isikliku otstarbega. Isikuandmete kaitse reeglid kehtivad.
 

• Kui liikmesriik kasutab isikuandmeid oma julgeoleku tagamiseks või Euroopa Liidu ühise välis- ja julgeolekupoliitika raames.

Andmesubjekt on füüsiline isik ehk inimene, kelle andmeid töödeldakse.

Andmetöötlejad jagunevad vastutavateks, volitatud ja kaasvastutavateks töötlejateks. 

Täpsemalt saab lugeda andmetöötleja vastutuse ja kohustuste kohta siit.
 

Kolmas isik on füüsiline või juriidiline isik, avaliku sektori asutus, amet või organ, välja arvatud andmesubjekt, vastutav töötleja, volitatud töötleja ja isikud, kes võivad isikuandmeid töödelda vastutava töötleja või volitatud töötleja otseses alluvuses. Seega on kolmanda isikuna käsitletav isik, kes ei ole ise andmetöötleja ega andmesubjekt ning kellel reeglina ei ole õigust töödelda isikuandmeid. 
 

Õigus isikuandmete kaitsele ei ole absoluutne õigus, vaid seda tuleb kaaluda vastavalt selle ülesandele ühiskonnas ning tasakaalustada muude põhiõigustega vastavalt proportsionaalsuse põhimõttele (IKÜM põhjenduspunkt 4).

Näiteks tuleb õigust isikuandmete kaitsele kaaluda järgmiste õigustega: era- ja perekonnaelu, kodu ja edastatavate sõnumite saladuse austamine, mõtte-, südametunnistuse- ja usuvabadus, sõna- ja teabevabadus, ettevõtlusvabadus, õigus tõhusale õiguskaitsevahendile ja õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele.

Kindlasti on inimesi, kes ei soovi midagi varjata ning kes on pigem huvitatud, et nende elukorraldusest avalikult kõneldaks/kirjutataks.

Enda andmete avalikustamine on inimese õigus ning põhineb eelkõige vabal tahtel.

Valdav enamus inimestest siiski ei soovi, et nende isikuandmed ja teave elukorralduse kohta avalikkusele kättesaadavad oleksid. Selline on nende tahe ja nende õigus on nii otsustada. Seaduse mõttes räägime õigusest eraelu puutumatusele. Eesti Vabariigis tagab sellise õiguse Eesti vabariigi põhiseadus, kuid konkreetsemalt aitab tagada eraelu kaitset isikuandmete kaitse seadus. 

Eraelu puutumatus tähendab muuhulgas informatsioonilist enesemääratlemise õigust, ehk inimene saab ise otsustada, kas ja kui palju isikuandmeid kogutakse, kasutatakse ning säilitatakse, kuid see õigus ei saa olla absoluutne. Seaduse mõistes saab isikuandmete töötlemisel inimesest andmesubjekt, mis tähendab tingimusi ja kokkuleppeid töötleja ja inimese vahel.
 

Isikuandmete töötlemise alustaladeks on 7 põhimõtet vastutustundlikule ja andmetöötlusnõuetega arvestavale andmetöötlejale, mis tulevad isikuandmete kaitse üldmääruse artiklist 5. 

•  Seaduslikkus ja läbipaistvus

Isikuandmete töötlemiseks peab alati olema mingi seaduslik alus. Samuti peab olema see isikule läbipaistev ning tehtud vastavalt nõuetele.

• Eesmärgipärasus

Isikuandmete töötlemine peab alati olema seotud mingi eesmärgiga. Kui on soov mingeid isikuandmeid saada või koguda, siis peab alati kaardistama, miks mul neid isikuandmeid vaja läheb? Mis on see eesmärk, mida ma tahan saavutada? Teatud eesmärgid on õiguspärased ja teatud ei ole, aga eesmärk peab alati eksisteerima. Näiteks mul on vaja sõlmida töötajaga tööleping ning hinnata töötaja sobivust töökohale. Siis tuleb uus küsimus, millised on need minimaalsed andmed, et ma saaksin seda eesmärki täita?

• Minimaalsus

Andmeid tuleb koguda nii vähe kui võimalik teatud eesmärgi saavutamiseks. Igaks juhuks andmete kogumine on ebaseaduslik. Tuleb kaardistada, milliseid andmeid on vaja. Näiteks töölepingu sõlmimiseks ning töötaja sobivuse hindamiseks on töökohast olenevalt õigus nõuda hariduslikke, kvalifikatsiooni, läbitud koolituste andmeid – kõike, mis on töösuhte loomiseks oluline.

• Õigsus

Andmed peavad olema aja- ja asjakohased. Teatud ajaperioodi tagant on hea üle vaadata, kas isikuandmed vajavad uuendamist. Väga hea, kui on olemas infosüsteem, kus on võimalik automaatselt andmeid uuendada, näiteks isikud saavad ise sisse logida ja oma andmeid muuta. Töötlemise eesmärki järgides on ka oluline, et ebaõiged isikuandmed kustutaks või parandataks viivitamata. 

• Säilitamise piirang

Ükski isikuandmete hulk ei tohi olla igavene. Säilitamiseks peab olema konkreetne põhjus. Kui eesmärk on saavutatud ja kui ei ole muid seadusest tulenevaid õigustusi, miks neid säilitada, siis tuleb need hävitada. Isikuandmed on kindla säilitustähtajaga.

• Usaldusväärsus  ja konfidentsiaalsus

Isikuandmete töötleja peab tagama, et andmed hoitakse kättesaamatult kolmandate isikute eest, et ei oleks volitamata ligipääse, juhuslikku kaotamist, hävimist või kahjustumist.

• Vastutus

Isikuandmete töötleja vastutab alati ka tema käsutuses olevate isikuandmetega tehtud toimingute eest ning peab olema valmis nõuetekohast töötlemist ka tõendama.

Õigus isikuandmete kaitsele ei ole rohkem ega vähem tähtsam, kui teised inimese põhiõigused.

Isikuandmeid kaitstes seistakse selle eest, et inimeste eraelu puutumatust ja vabadust lubamatult ei riivataks ja säiliks ligipääs iseenda kohta kogutud isikuandmetele ning samuti infole, millises ulatuses, eesmärgil ja õiguslikul alusel on isikuandmeid töödeldud.

Samas võib ühe inimese õigus eraelule võib põrkuda teise inimese sõna- ja teabevabadusega, eneseteostusvabadusega, ettevõtlusvabadusega. Teatud küsimustes on seadusandja andnud täpsemad kaalumisreeglid – näiteks ajakirjanduslikul eesmärgil võib piirata privaatsust eraelule avalikkuse huvi korral. Põhiõigusi tuleb konkreetses olukorras omavahel kaaluda.
 

Õiguslik alus isikuandmete töötlemiseks tähendab seda, et enne isikuandmete töötlemisega alustamist tuleb selgeks teha, kas on üldse olemas õiguslik alus seda teha.

Ilma õigusliku aluseta isikuandmete töötlemine ei ole seaduslik ning on seeläbi vastuolus ka isikuandmete kaitse üldmääruse artiklis 5 lõikes 1 punktis a nimetatud seaduslikkuse põhimõttega. 

Loe lähemalt õiguslikest alustest.

Isikliku kasutuse erand tähendab seda, et füüsiline isik töötleb isikuandmeid üksnes eranditult isiklike või koduste tegevuste käigus ja seega väljaspool ametialast või äritegevust.

Isiklik ja kodune tegevus võib hõlmata näiteks  kirjavahetust ja aadresside loetelu või tegevust suhtlusvõrgustikes ja internetis, mida tehakse sellise isikliku või koduse tegevuse raames. 

Kui on kavas pildistada eesmärgiga seda pilti teistega jagada, siis tuleb arvestada, et kõigil pildile jäävatel inimestel on õigus privaatsusele. See aga tähendab ühtlasi, et inimene peab saama võimaluse loobuda pildil olemisest. Teised inimesed kindlasti hindavad väga sinu viisakat teavitust, kui soovid nendest pilti teha ja seda ka hiljem sotsiaalmeedias jagada. Kui teavitad, annad ühtlasi ka võimaluse sellest koheselt keelduda.

Andmetöötluse reegleid arvestades, käitud alati korrektselt siis, kui avaldamiseks tehtud pildi jaoks küsid pildile jäävatelt inimestelt nõusolekut (võib ka suuliselt), sest teise inimese isikuandmeid tohib eraisikute vahelises suhtlemises jagada tema enda nõusolekul. Kui vahest ei ole võimalik pildile jäävatelt inimestelt nõusolekut küsida, siis kadreeri parem juba oma foto selliselt, et võõrad jääksid Sinu pildil tuvastamatuks või veel parem, hoopis pildilt välja. Nõusoleku võtmisel on oluline meelde jätta, et nõusolekut saab alati tagasi võtta ning sellisel juhul tuleb isik pildil muuta tuvastamatuks või kustutada pilt. 

Kui teed pildi vaid isiklikuks kasutamiseks, näiteks endale mälestuseks, siis pole teiste nõusolekut vaja. Isiklikuks kasutamiseks loetakse teinekord ka pildi jagamist sõprade ja pereliikmetega, aga kui pilt jõuab juba sotsiaalmeediasse, hakkab see elama oma elu, mida sina ei kontrolli. Sel juhul tekib sinu jaoks juba uus ja sinu vastu pöördumist võimaldav olukord, kuna oled avaldanud teise isikuandmed ilma tema nõusolekuta, mis tähendab - seadusevastaselt.
 

Biomeetrilised andmed on konkreetse tehnilise töötlemise abil saadavad isikuandmed isiku füüsiliste, füsioloogiliste ja käitumuslike omaduste kohta, mis võimaldavad kõnealust füüsilist isikut kordumatult tuvastada või kinnitavad selle füüsilise isiku tuvastamist, näiteks näokujutis ja sõrmejälgede andmed. Biomeetrilisi andmeid töödeldakse tehniliste vahendite, näiteks sõrmejäljelugejaga. 

Biomeetrilisi andmeid on Eestis võimalik töödelda ainult avalikul sektoril kindlate toimingute raames, näiteks isikut tõendavate dokumentide loomiseks. Erasektoril on lubatud biomeetrilisi isikuandmeid töödelda ainult nõusoleku alusel. 

Õigustatud huvi on üks võimalikest õiguslikest alustest, millele saab tugineda isikuandmete töötlemisel. 

IKÜM artikkel 6 lõike 1 punktis f on ette nähtud kolm tingimust, mis kõik peavad täidetud olema, et isikuandmete töötlemine oleks lubatud:

• vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on õigustatud huvi;
• sikuandmete töötlemine on vajalik õigustatud huvi teostamiseks;
• vastutaval töötleja või andmeid saava kolmanda isiku huve ei kaalu üles kaitstava andmesubjekti põhiõigused ja –vabadused.

Õigustatud huvi sisustamisel saab lähtuda kõigepealt sellest, et vastutava töötleja huvi peaks olema seadusega kooskõlas selleks, et seda oleks võimalik ellu viia. Samuti saab sättest järeldada, et isikuandmete töötlemise vajadus peaks olema reaalne, mitte hüpoteetiline.

Õigustatud huvile tuginemist tuleb eelnevalt tõsiselt kaaluda, sest see nõuab alati põhjendamist ning vastutust. Mida selgem on põhjendus, seda läbipaistvam on andmetöötlus. Üks võimalustest on põhjendada seda andmetöötleja andmekaitsetingimustes.

Andmetöötlejal tuleb inimesele igakordselt põhjendada, kuidas andmetöötleja huvid isikuandmete kasutamisel kaaluvad üle inimese huve või põhiõigusi ja vabadusi. Näiteks ei saa ükski massreklaami saatmise ärimudel tugineda õigustatud huvile, sest saatjal ei ole võimalik teada, kas tema ärihuvi kaalub üles kõikide saajate huvid, põhiõigused ja vabadused. Lisaks peab arvestama ka eriregulatsioonidega. Näiteks elektroonilist otseturustust on lubatud teha ainult inimese eelneval nõusolekul.  

Veendumaks, et õigustatud huvi sobib kasutada õigusliku alusena, tuleb andmetöötlejal teha kaalumisotsus. 

Kaalumisotsus on õiguslik analüüs, kus esmalt selgitatakse andmetöötleja enda jaoks välja, milles seisneb tema tegevuse eesmärk ja õigustatud huvi. Seejärel analüüsitakse, kas kõnealune isikuandmete töötlemine on eesmärkide saavutamiseks vajalik. Kaalumisotsuse teine osa peab analüüsima, kas inimene võib eeldada andmetöötleja sellist tegevust ja isikuandmete töötlemist  ning millised on töötlemise võimalikud tagajärjed inimese privaatsusele ja vabadusele. Kui inimese huvid või põhiõigused ja vabadused on kaalukamad, siis ei ole lubatud õigustatud huvi kasutada õigusliku alusena. Eriti kehtib see olukorras, kus töödeldakse alaealiste andmeid.

KAALUMISOTSUS TEHAKSE  KOLMEASTMELISE SKEEMI JÄRGI:

I aste – isikuandmete töötleja või kolmandate isikute huvid ja nende kaalukus;

II aste – andmesubjekti (inimene, kelle andmeid töödeldakse) õigused ja huvid ning kaalukus;

III aste – vastanduvate huvide kaalumine – nende esialgne hinnang ning vajadusel täiendavad kaitsemeetmed, lõplik hinnang.

Kaalumisotsused võivad pealiskaudse analüüsi tagajärjel jätta andmetöötleja õigusvaidlustes hätta. Oluline on kaalumisotsuse tegemise juures arvestada, et vastutus tegevuse tagajärgede eest on alati andmetöötlejal.

Kui andmetöötluse õiguslikuks aluseks on valitud õigustatud huvi, peab andmetöötleja samuti tagama, et tehtav isikuandmete töötlus vastaks isikuandmete töötlemise põhimõtetele, milleks on mh eesmärgipärasus, minimaalsus, läbipaistvus, õigsus ja usaldusväärsus.

Kindlasti ei saa segamini ajada termineid õigustatud huvi ja õigustus. Näiteks, kui andmetöötleja arvab, et tema teguviis on õigustatud, siis see ei tähenda, et tal on kaalumisotsusel põhinev õigustatud huvi.

Isikuandmete kaitse üldmääruse artikkel 6; põhjendused 47, 48 ja 49.
 

Loe lähemalt õigustatud huvi juhendist.

Eriliiki isikuandmetena mõistetakse isikuandmeid, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. 

Oluline on meeles pidada, et eriliiki isikuandmete töötlemine on reeglina keelatud ning nende töötlemisel ei saa tugineda isikuandmete kaitse üldmääruse artiklis 6 nimetatud alustele. Eriliiki isikuandmeid võib töödelda, kui esineb mõni isikuandmete kaitse üldmääruse artiklis 9 lõikes 2 nimetatud õiguslik alus. 

Loe lähemalt õiguslikest alustest. 

lõimitud andmekaitse

Lõimitud andmekaitse ühendab kõiki privaatsuse kaitse meetmeid alates isikuandmete töötlust ettevalmistavatest toimingutest kuni protsessi viimase etapini välja. Teisisõnu on see meetmete komplekt kogu andmetöötluse elutsüklis. Lõimitud on omavahel dokumentatsioon ja õiguslikud alused, tehnoloogia ja töökorraldus. Kõik töötlusprotsessi toimingud, mis juhinduvad andmekaitse reeglitest ja põhimõtetest.

Näiteks on tegemist lõimitud andmekaitsega, kui organisatsioonil on kasutusel asjakohased ja kaasajastatud infoturbemeetmed, hinnatud on riskid ja vajadusel tehtud andmekaitseline mõjuhinnang, inimesele on tagatud teave nii tema andmete töötlemise eesmärgi kui ta õiguste kohta, sõlmitud on lepingud volitatud andmetöötlejatega ja olemas kehtivad töösisekorraeeskirjad.

VaikimisI andmekaitse

Vaikimisi andmekaitse on lõimitud andmekaitse üks väljunditest, mille eesmärk on tagada inimesele lahendust lähtuvalt andmetöötluse minimaalsuse ja maksimaalse turvalisuse põhimõtetest. Toodete või teenuste saamiseks küsitavate isikuandmete hulk on nii vähene kui lepingu täitmiseks vajalik, samas antakse inimesele võimalus soovi korral jagada asjasse puutuvad lisaandmeid.

Näiteks kui tellida internetivormi kaudu koju üldhuvi ajakiri, on vajalik küsida peale nime kohale toimetamise aadress, kuid andmete küsimine inimese töökoha, laste arvu, hariduse vms osutub ülemääraseks. E-poodi kasutajakonto tegemiseks on vaja küsida vaid neid andmeid, mida e –poe tellimuse täitmiseks on vaja. Kõik eelseadistused tehnoloogiaseadmetes on pandud paika selliselt, et inimene saab suurema privaatsusriivega valikuid ise aktiveerida.