Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Helen Siren

Tööinspektsioon

[email protected]

Teie 28.05.2026 Meie 11.06.2026 nr 2.3-8/26/2216-2

Vastus nõudekirjale

Andmekaitse Inspektsioon (AKI) sai Tööinspektsiooni nõudekirja. Küsite, kas tegemist on

andmekaitsenõuete rikkumisega, kui töövaidluskomisjoni dokumendihaldusspetsialist, kes on

töölepingu alusel töötaja, läheb puhkusele ja suunab puhkuse ajaks oma postkasti tulevad e-kirjad

(menetluspost) automaatselt oma asendajale. Asendajal on sama ametikoht, sama vastutus ja

pädevus. Samuti soovite teada, kuidas sellest tulenevaid andmekaitseriske on võimalik maandada.

Isikuandmete töötlemist reguleerib isikuandmete kaitse üldmäärus (IKÜM)1, mille kohaselt peab

isikuandmete töötlemine olema kooskõlas IKÜM artiklis 5 sätestatud põhimõtetega, muu hulgas

seaduslikkuse2, konfidentsiaalsuse3, läbipaistvuse4, eesmärgipärasuse5 ja minimaalsuse6

põhimõtetega. Isikuandmete töötlemise õiguspärasuse tagamine ja selle tõendamine on vastutava

töötleja ehk Tööinspektsiooni kohustus.7

Isikuandmed on andmed, mille põhjal on võimalik otseselt või kaudselt tuvastada konkreetne

füüsiline isik.8 Postkasti laekuvad e-kirjad sisaldavad saatja isikuandmed, aga ka töötaja nimeline

e-postkast ning selles sisalduvad kirjad on töötjate isikuandmed, kuna need võimaldavad tuvastada

konkreetse füüsilise isiku.

Töövaidluskomisjon töötleb kodanike isikuandmeid enamasti oma seadusest tulenevate ülesannete

täitmiseks, mistõttu põhineb nende andmete töötlemine eelkõige IKÜM art 6 lõike 1 punktil e

(avalikes huvides oleva ülesande täitmine või avaliku võimu teostamine) koos vastava siseriikliku

õigusliku alusega. Kui e-postis olevaid kodanike kirju töötleb tööülesannete täitmise käigus

puhkuse ajal asendaja, toimub andmete töötlemine jätkuvalt tööandja ülesandel, st samal eesmärgil

ja samal õiguslikul alusel.

Silmas tuleb pidada, et ka töötajate isikuandmete töötlemiseks peab tööandjal olema õiguslik alus

ja andmetöötlus peab vastama eespool nimetatud isikuandmete töötlemise põhimõtetele.

Töösuhtest ja tööalasest teadmisvajadusest tulenevalt on teatud töötaja isikuandmete töötlemiseks

tööandjal õiguslik alus olemas (nt tööleping9), samas töötaja eraelu puudutavate isikuandmete

1 Euroopa Parlamendi ja Nõukogu isikuandmete kaitse üldmäärus. 2 IKÜM art 5 lg 1 punkt a 3 IKÜM art 5 lg 1 punkt f 4 IKÜM art 5 lg 1 punkt a 5 IKÜM art 5 lg 1 punkt b6 IKÜM art 5 lg 1 punkt c 7 IKÜM art 5 lg 2 8 IKÜM art 4 punkt 1 9 IKÜM art 6 lg 1 punkt b

2 (2)

töötlemiseks (näiteks tööalases e-postkastis olevad isikliku sisuga e-kirjad) tööandjal õiguslikku

alust ei ole.

Andmekaitse vaatenurgast võib sellise lahenduse peamiseks riskiks seega olla andmekaitse

põhimõtete, eelkõige konfidentsiaalsuse, läbipaistvuse, minimaalsuse ja eesmärgipärasuse riive

olukorras, kus isikustatud ametialasesse postkasti saabub lisaks menetluspostile ka muud

kirjavahetust. Vaatamata isikliku suhtluse keelule võib paratamatult töötaja isikustatud e-posti

aadressile jõuda ka selliseid kirju, mis on mõeldud üksnes konkreetsele adressaadile, samuti võib

postkast sisaldada varasemat kirjavahetust, mille sisule asendajal puudub tööülesannetest tulenev

vajadus ligi pääseda.

Eesmärgipärasuse ja minimaalsuse põhimõtete kohaselt tuleb asutusel töökorralduse kehtestamisel

ning sellega kaasneva isikuandmete töötlemise korraldamisel hinnata erinevaid võimalikke

lahendusi ning eelistada sellist meedet, mis võimaldab saavutada soovitud eesmärgi isikute õigusi

ja vabadusi kõige vähem riivaval viisil. Võimaluse korral tuleks eelistada lahendust, kus

menetluspost liigub jagatud isikustamata postkasti kaudu, millele on juurdepääs üksnes vastava

volituse saanud töötajatel või nt seadistada nimelisele e-postile automaatvastus, mis suunab kirju

saatma asendaja e-postile.

Kui asutus leiab siiski, et menetlusposti automaatne edasisuunamine asendajale on

töökorralduslikult vajalik ja põhjendatud, tuleb sellega seotud riskide maandamiseks kehtestada

selge ja üheselt mõistetav asenduskord. Andmetöötlus peab olema läbipaistev, seega enne

igasugust tegevust tuleb töötajat teavitada. Vastavad põhimõtted peavad olema sätestatud asutuse

sisekorraeeskirjades või muudes siseaktides, olema töötajatele nõuetekohaselt tutvustatud ning

neile igal ajal kättesaadavad. Läbipaistvust suurendaks ka menetlusosaliste asjakohane

teavitamine sellest, et nende andmeid võivad asendamise eesmärgil töödelda ka teised asutuse

töötajad. Lisaks tuleb tagada asjakohaste tehniliste ja korralduslike turvameetmete rakendamine,

sealhulgas juurdepääsude ja toimingute logimine ning töötajate teadlikkus kehtivatest

andmekaitse- ja infoturbenõuetest.

Samuti tuleb järgida andmete minimaalsuse ja eesmärgipärasuse põhimõtteid, mille kohaselt peab

asendaja juurdepääs piirduma üksnes nende andmete ja kirjadega, mis on vajalikud tema

tööülesannete täitmiseks. Seetõttu on põhjendatud, et asendajale võimaldatakse juurdepääs üksnes

asendamisperioodi jooksul saabunud menetluspostile, mitte kogu postkasti ajaloolisele sisule,

mille töötlemiseks puudub tal konkreetne tööalane vajadus. Töötajate postkastidele juurdepääsu

vajaduse vähendamiseks võiks töötajaid juhendada salvestama tööks vajalikke materjale ühiselt

ligipääsetavatesse keskkondadesse. Kui töötajad siiski on kasutanud tööalast e-posti ka

erasuhtluseks, võiks erasuhtluse kaitsmiseks töötajaid juhendada paigutama need eraldi vastava

tähisega kausta või ebavajalikku kirjavahetust kustutama.

Andmekaitseõigus ei keela menetlusposti suunamist puhkuse ajaks sama pädevusega asendajale.

Selline korraldus peab olema aga läbipaistev, võimalikult vähe privaatsust riivav ja

konfidentsiaalne ning vastama IKÜM-i põhimõtetele. Kui sama eesmärki saab saavutada mõne

vähem riivava lahendusega, tuleks seda eelistada.

Loodame, et vastusest on abi.

Lugupidamisega

Mari-Liis Uprus

jurist

peadirektori volitusel