Vastus Transpordiameti selgitustaotlusele opt-out nimekirja kohta

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Martina Rihkrand

[email protected]

Teie 28.04.2026 Meie 13.05.2026 nr 2.3-8/26/1769-2

Vastus Transpordiameti selgitustaotlusele opt-out nimekirja kohta

Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse, milles küsite, kas klientide e‑posti

aadresse võib säilitada opt‑out nimekirjas määramata tähtajaga üksnes selleks, et

tagasisidesüsteemist ei saadetaks neile edaspidi tagasisideküsimustikke.

Esmalt selgitan, et AKI ei saa selgitustaotlusele vastates anda konkreetsele

andmetöötlusprotsessile siduvat õiguslikku hinnangut, see on võimalik ainult

järelevalvemenetluses. Seetõttu anname Teile järgnevalt üldised selgitused.

Üldjuhul opt‑out nimekirja pidamine, mille ainus eesmärk on tagada, et isikule ei saadetaks

edaspidi vastava sisuga teateid/küsitlusi, on iseenesest kooskõlas isikuandmete kaitse üldmääruse

(IKÜM) põhimõtetega, kui andmetöötlus on rangelt piiratud selle eesmärgi täitmisega ning

säilitatakse minimaalselt vajalik andmestik. Opt-out ehk keelunimekirjade säilitamine on oluline

meede, mis võimaldab vastutaval töötlejal täita oma kohustust austada andmesubjekti õigust

keelata oma andmete töötlemine, mis aitab vältida olukorda, kus isik lisatakse ekslikult uuesti

adressaatide hulka.

IKÜM artikli 21 kohaselt on andmesubjektil õigus esitada vastuväide isikuandmete töötlemisele

juhul, kui töötlemise õiguslik alus on avalikes huvides ülesande täitmine või avaliku võimu

teostamine (IKÜM artikli 6 lõike 1 punkt e) või õigustatud huvi (IKÜM artikli 6 lõike 1 punkt

f), ning otseturunduse korral on vastuväide absoluutne. Otseturunduse kontekstis rõhutab ka

IKÜM preambula põhjendus 70, et isikul peab olema õigus igal ajal ja tasuta esitada vastuväide

otseturundusele ning seda õigust tuleb selgelt esile tuua.

IKÜM artikli 5 lõike 1 punkt e sätestab säilitamise piiramise põhimõtte, mille kohaselt hoitakse

isikuandmeid tuvastataval kujul mitte kauem, kui on vajalik töötlemise eesmärgi saavutamiseks.

Opt‑out nimekirja puhul on töötlemise eesmärk püsiv (vältida edasist kontakti võtmist), mistõttu

võib säilitamine olla ka pikaajaline. Selle tagamiseks, et isikuandmeid ei säilitataks vajalikust

kauem, on vastutaval töötlejal kohustus määrata kindlaks tähtajad andmete kustutamiseks või

nende säilitamise vajaduse korrapäraseks läbivaatamiseks. Kui kontrolli tulemusel selgub, et

andmete säilitamine ei ole enam rangelt vajalik ja osutub taotletavate eesmärkide seisukohast

liiaseks, tuleb need kustutada. Opt-out nimekirja säilitamine on seega lubatud seni, kuni vastutav

töötleja tegeleb aktiivselt selle tegevusega, mille kohta loobumine on esitatud. Kui tegevus

lõpetatakse või eesmärk kaob, muutub ka keeldunute andmete edasine säilitamine

õigusvastaseks. Isikuandmete säilitamine igavesti on vastuolus andmekaitse aluspõhimõtetega.

2 (2)

IKÜM artikkel 17 sätestab õiguse andmete kustutamisele, kuid see õigus ei ole absoluutne.

Viidatud artikli 17 lõike 3 punkti b kohaselt ei kohaldu kustutamiskohustus ulatuses, milles

töötlemine on vajalik juriidilise kohustuse täitmiseks või avalikes huvides ülesande täitmiseks /

avaliku võimu teostamiseks. Isiku vastuväite täitmine on sellisel juhul juriidiline kohustus, mille

täitmine eeldab minimaalset kirjet opt-out nimekirjas. Kui isik esitab kustutamisnõude, võib

andmetöötleja üldjuhul kustutada tema andmed nö aktiivsetest andmebaasidest, kuid jätta opt‑out

nimekirja minimaalse blokeerimiskirje, kui see on vajalik selleks, et isiku varasemat

vastuväidet/loobumist tegelikult järgida ja vältida edasist kontakti võtmist.

Kuigi tegemist on piiratud ulatuses ja rangelt määratud eesmärgil andmete säilitamisega, siiski

peab ka opt-out nimekirjade puhul arvestama IKÜM kõikide nõuetega, sh tagama andmete

turvalisuse ja andmesubjekti õigused. Opt-out nimekirja haldamisel on soovitatav lisaks

eeltoodud põhimõtete järgimisele rakendada ka järgmisi meetmeid:

 Hoida Opt-out nimekiri aktiivsetest adressaatide loenditest eraldi turvalises keskkonnas

ning piirata sellele juurdepääsu rollipõhiselt.

 Säilitada ainult see, mis on vajalik blokeerimiseks: nt e-posti aadress, blokeeringu ulatus

(nt „tagasisideküsitlused“), kuupäev ning kanal, mille kaudu loobumine esitati.

 Kaaluda, kas opt-out nimekirjas saab e-posti aadressi asemel kasutada turvalist tehnilist

lahendust (nt soolatud räsiväärtus), et vähendada riske andmelekkes.

 Dokumenteerida säilitamise loogika ning kirjeldada see töötlemistoimingute

dokumentatsioonis (sh andmekaitsetingimustes).

 Tagada, et loobumisvõimalus oleks selge ja lihtne ning et isikut teavitatakse tema

vastuväite/loobumise registreerimisest. Õigus esitada vastuväide peab olema esitatud

selgelt ja eraldi muust infost.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Irina Meldjuk

jurist

peadirektori volitusel