ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp selgitustaotluse esitaja

Teie 23.07.2026 Meie 10.08.2026 nr 2.2-9/26/2890-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses AKI juhendis toodud näitega, et

„üks eraisik ei tea reeglina teise eraisiku arvuti IP-aadressi või muud võrguidentifikaatorit,

seevastu sideettevõte tunneb nende järgi oma kliendid ära“, ning palvega selgitada selle näite

kooskõla isikuandmete kaitse üldmääruse (IKÜM) artikli 4 punktiga 1, põhjenduspunktiga 26,

artikliga 11 ning Euroopa Kohtu praktikaga.

Selgitame, et juhendis toodud näite eesmärk on eelkõige illustratiivselt näidata, et füüsilise isiku

tuvastatavuse hindamisel tuleb arvesse võtta konkreetset konteksti ning andmetöötleja või muu

isiku käsutuses olevaid vahendeid. Näidet ei tule tõlgendada viisil, mille kohaselt sõltub andmete

kvalifitseerumine isikuandmeteks üksnes konkreetse töötleja subjektiivsest võimalusest füüsilist

isikut tuvastada. Tuvastatavust tuleb hinnata kõiki asjakohaseid asjaolusid arvestades. Juhendi

mõte on selgitada tuvastatavuse hindamise praktilist külge, mitte kitsendada isikuandmete

mõistet võrreldes IKÜMist ja Euroopa Kohtu praktikast tuleneva käsitlusega.

IKÜM artikli 4 punkti 1 kohaselt on isikuandmed igasugune teave tuvastatud või tuvastatava

füüsilise isiku kohta. Põhjenduspunkti 26 kohaselt tuleb füüsilise isiku tuvastatavuse hindamisel

arvesse võtta kõiki vahendeid, mida vastutav töötleja või muu isik võib mõistliku tõenäosusega

kasutada füüsilise isiku otseseks või kaudseks tuvastamiseks. Seejuures tuleb arvestada

objektiivseid asjaolusid, sealhulgas tuvastamiseks vajalikku aega, kulusid, olemasolevat

tehnoloogiat ja tehnoloogilist arengut.

Ka Euroopa Kohus on kohtuasjas C‑582/14 (Breyer) leidnud, et dünaamiline IP-aadress võib

kujutada endast veebilehe pidaja jaoks isikuandmeid juhul, kui veebilehe pidajal on õiguslikult

ja praktiliselt võimalik saada kolmandalt isikult täiendavat teavet, mis võimaldaks IP-aadressi

seostada konkreetse füüsilise isikuga. Seetõttu ei sõltu hinnang üksnes konkreetse töötleja

vahetust teadmisest või teadmatusest. Samas ei tähenda see ka seda, et iga IP-aadress oleks

kõikides olukordades automaatselt käsitatav isikuandmetena. Hinnang sõltub konkreetsetest

asjaoludest ning sellest, kas füüsiline isik on olemasolevat teavet ja mõistlikult kasutatavaid

vahendeid arvestades tuvastatav.

Teie viidatud IKÜM artikli 11 osas selgitame, et säte puudutab olukordi, kus vastutaval töötlejal

ei ole võimalik andmesubjekti tuvastada. Sellisel juhul ei pea vastutav töötleja üksnes

üldmäärusest tulenevate kohustuste täitmiseks hankima täiendavaid andmeid andmesubjekti

tuvastamiseks. Sellest ei tulene siiski automaatselt, et töödeldav teave ei ole isikuandmed.

2 (2)

Samad põhimõtted kehtivad ka telefoninumbrite, aadresside ning muude identifikaatorite puhul.

IKÜM ei näe ette erinevat lähenemist üksnes sõltuvalt identifikaatori liigist. Nii IP-aadressi,

telefoninumbri kui ka aadressi puhul tuleb hinnata, kas nende alusel on füüsiline isik otseselt või

kaudselt tuvastatav. Seetõttu ei tule juhendis toodud IP-aadressi näidet mõista selliselt, et

erinevate identifikaatorite puhul tuleks tuvastatavust hinnata erinevate põhimõtete alusel. Kõigil

juhtudel sõltub hinnang konkreetsetest asjaoludest ja tuvastatavuse võimalikkusest.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Irina Meldjuk

jurist

peadirektori volitusel