Oma pöördumises kirjeldate, et kavandate veearvesti näitude edastamiseks Tally veebivormil põhinevat lahendust, mille kaudu esitatud andmed kantakse automaatselt Google Sheetsi tabelisse. Vormil soovite küsida piirkonda, kliendi nime, veenäite, vabatahtlikku kommentaari ning võimaluse korral kliendi- või lepingunumbrit. Soovite teada, kas selline lahendus on kliendiandmete vastuvõtmiseks andmekaitse seisukohalt vastuvõetav.

 

Esmalt selgitame, et väljaspool järelevalvemenetlust ei saa Inspektsioon kontrollida konkreetse tehnilise lahenduse, selle seadistuste, lepingutingimuste ega turvameetmete vastavust andmekaitsenõuetele ega anda lahenduse õiguspärasuse kohta siduvat hinnangut. Selgitustaotlusele vastates saame selgitada, milliste nõuetega tuleb kirjeldatud lahenduse kasutamisel arvestada.

 

Veearvesti näit, kliendi- või lepingunumber ja tarbimiskoha andmed on isikuandmed, kui need on seostatavad konkreetse füüsilise isikuga. Kliendi- või lepingunumbri kasutamine nime asemel võib vähendada isiku vahetut tuvastatavust, kuid ei muuda andmeid anonüümseks.

 

Isikuandmete töötlemise eest vastutab vastutav töötleja ehk see andmetöötleja, kes määrab kindlaks töötlemise eesmärgid ja vahendid.  Vastutav töötleja peab tagama, et töötlemine vastab IKÜM artiklis 5 sätestatud andmetöötluse põhimõtetele ning suutma andmekaitse nõuete täitmist tõendada. Enne veenäitude ja nendega seotud kliendiandmete töötlemisega alustamist tuleb kindlaks määrata töötlemise eesmärk ja sobiv õiguslik alus. Näiteks võib töötlemine tugineda IKÜM artikli 6 lõike 1 punktile b, kui see on vajalik füüsilise isikuga sõlmitud veeteenuse lepingu täitmiseks, või punktile c, kui töötlemine tuleneb vastutavale töötlejale õigusaktiga pandud kohustusest. Õiguslik alus tuleb valida konkreetse eesmärgi ja asjaolude põhjal.

 

Lisaks tuleb vormi koostamisel hinnata iga küsitava andmevälja vajalikkust. Kui näidu saab õige tarbimiskohaga siduda kliendi- või lepingunumbri abil, ei pruugi olla vaja küsida lisaks kliendi nime ja piirkonda. Kommentaarivälja juurde võiks lisada juhise, et sinna ei sisestataks teenuse osutamiseks mittevajalikke isikuandmeid. Samuti tuleks läbi mõelda, kuidas tagatakse näidu seostamine õige kliendi ja tarbimiskohaga.

 

Kui Tally ja Google töötlevad andmeid ettevõtja nimel ja tema juhiste kohaselt, tuleb kontrollida nende rolle, kasutatavaid alltöötlejaid ning lepingutingimuste vastavust IKÜM artiklile 28. Samuti tuleb välja selgitada, kus andmeid töödeldakse ja säilitatakse ning kas neile võidakse juurde pääseda väljastpoolt Euroopa Majanduspiirkonda. Isikuandmete kolmandasse riiki edastamisel tuleb järgida IKÜM artiklites 44–49 sätestatud nõudeid. Kuigi tegemist on laialdaselt kasutatavate teenustega, tuleks vastutaval töötlejal need asjaolud siiski üle vaadata, et ta saaks hinnata andmetöötluse vastavust nõuetele ning anda inimestele selget teavet selle kohta, kellele nende andmeid edastatakse, kus neid töödeldakse ja kuidas toimub võimalik edastamine kolmandasse riiki.

Juurdepääs andmetele peab olema piiratud selleks volitatud töötajatega. Lisaks mitmeastmelisele autentimisele tuleb läbi mõelda kasutajaõiguste andmine ja korrapärane ülevaatamine, tabeli jagamine, logimine, andmete eksportimine ja koopiate tegemine ning säilitamis- ja kustutamistähtajad.

 

Vormil esitatav lühiteavitus ei asenda täielikku andmekaitseteavet, teisisõnu andmekaitsetingimusi. Kliendile peab olema kättesaadav IKÜM artiklis 13 nõutud teave, sealhulgas töötlemise eesmärk ja õiguslik alus, andmete vastuvõtjad, säilitamisaeg, võimalik andmete edastamine kolmandatesse riikidesse ning andmesubjekti õigused. Vormile võib lisada lühiselgituse ja selgelt nähtava viite täielikele andmekaitsetingimustele. Andmekaitsetingimuste koostamisel saate soovi korral tutvuda Andmekaitse Inspektsiooni veebilehel avaldatud teemakohaste juhistega ja huvi korral kuulata teemakohast taskuhäälingu episoodi.