Tere

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles küsite veebiplatvormi käivitamisega seotud andmekaitsenõuete kohta. Vastame küsimustele nende esitamise järjekorras.

Kas veebiplatvormi käivitamisel tuleb AKI-t teavitada või ennast registreerida.

Isikuandmete kaitse üldmäärus (IKÜM) ei näe tavapärasele eraettevõtjale ette isikuandmete töötlemise registrisse registreerimist ega üldist AKI eelnevat teavitamist. Isikuandmete töötlemise registrisse registreerimise nõue ei kehti enam. Alates 25. maist 2018 on delikaatsete isikuandmete töötlemise register suletud ja arhiveeritud ning sinna registreeringuid teha ei saa. Küll aga tuleb järgida ettevõtjal andmekaitse reegleid, sh näiteks pidada töötlemistoimingute ülevaadet. Üldmäärus kohustab kõiki andmetöötlejaid, kellel on vähemalt üks töötaja ja/või vähemalt üks füüsilisest isikust klient, koostama isikuandmete töötlemise ülevaate.

Kas DPO määramine on kohustuslik.

Andmekaitsespetsialisti (DPO) määramine ei ole kõigil juhul kohustuslik. Tema määramine muutub kohustuslikuks mh siis, kui ettevõtte põhitegevus hõlmab isikute ulatuslikku regulaarset ja süstemaatilist jälgimist või ulatuslikku eriliiki andmete töötlemist. Tavaline transpordiplatvorm koos kasutajakontode ja identiteedikontrolliga ei tähenda iseenesest DPO määramise kohustust, kuid suuremahulise jälgimise/profiilianalüüsi korral võib kohustus tekkida. DPO määramise tingimused on sätestatud IKÜM artiklis 37. Lähemalt leiate AKI välisveebist.

Kas juhiloa või ID-dokumendi koopia töötlemine on lubatud.

Töötlemine on lubatud, kui see on konkreetsel eesmärgil vajalik ja selleks on õiguslik alus. Dokumenti ega isikuandmeid üldisemalt ei tohiks koguda lihtsalt „igaks juhuks“. Tuleb rakendada eesmärgipärasuse, minimaalsuse ja säilitamise piiramise põhimõtteid. Võimalusel on parem kontrollida isikut ja juhiloa kehtivust ilma kogu dokumendikoopiat püsivalt säilitamata. Samuti tuleb määrata säilitustähtaeg, piirata juurdepääsu ja rakendada piisavaid turvameetmeid säilitamisele.

Millised andmekaitsedokumendid peaksid platvormil olema.

Isikuandmete töötlemisülevaade: vastutavad ja volitatud töötlejad peavad koostama ülevaate isikuandmete töötlemise kohta. See nõue kehtib kõigi andmetöötlejate kohta, välja arvatud organisatsioonid, kellel pole töötajaid ega füüsilisest isikust kliente

Andmekaitsetingimused: vastutav töötleja peab andma isikule teavet tema andmete töötlemise tingimuste kohta. Andmekaitsetingimustes tuleb selgelt välja tuua, milliseid isikuandmeid töödeldakse, mis eesmärgil, kellele andmeid edastatakse, kui kaua neid säilitatakse ning millised on andmesubjekti õigused. Andmekaitsetingimused võivad olla osa ka laiemast privaatsuspoliitikast, kuid oluline on, et isik saab ülevaate, kuidas tema isikuandmeid töödeldakse.

Andmekaitsealane mõjuhinnang: kui andmetöötlus võib tõenäoliselt põhjustada suurt ohtu isiku õigustele ja vabadustele, tuleb enne töötlemise alustamist hinnata ja dokumenteerida selle mõju. Näiteks on mõjuhinnang vajalik ulatusliku automatiseeritud hindamise, eriliiki andmete töötlemise või avalike alade ulatusliku jälgimise korral.

Andmetöötluslepingud volitatud töötlejatega: kui isikuandmeid töötleb vastutava töötleja nimel volitatud töötleja, peab tagama, et volitatud töötlejaga on sõlmitud andmetöötluslepingud, milles on sätestatud poolte õigused ja kohustused ning tagatud turvameetmed seoses isikuandmete töötlemisega.

Ühtlasi tuleks kehtestada kindel sisekord, mis peaks muuhulgas sisaldama andmete säilitamis- ja kustutamisega seonduvat; andmesubjektide taotluste läbitöötamisega seonduvat; andmeturbe- ja ligipääsukontrolli reeglid; andmelekete/intsidentide käsitlemisega seonduvat. Dokumenteeritud kord aitab tagada andmete töötlemise õiguspärasuse ja läbipaistvuse ning samas toetab ettevõtja veendumust, et isikuandmete töötlemine toimub kooskõlas andmekaitse reeglitega. Selline kord tekitab usaldust ka neis, kelle isikuandmeid töödeldakse.

Kas peab olema kustutamise ja andmete väljastamise võimalus.

Inimeste, kelle isikuandmeid töödeldakse, õigused tuleb reaalselt tagada. Inimestel on teatud tingimustel õigus nõuda andmete kustutamist ning õigus saada koopia tema kohta töödeldavatest andmetest (IKÜM artikkel 15). Lisaks näeb IKÜMi III peatükk ette mitmeid muid õigusi nagu näiteks õigus andmete parandamisele ja andmete ülekandmise õigus. Vastutaval töötlejal peab olema nii korralduslikult, kui ka tehniliselt võimalik viivitamata andmesubjekti olemasolevad õigused tagada.

Millised lepingud teenusepakkujatega.

Kui näiteks veebimajutus-, pilve-, makse- või identiteedikontrolli ettevõte töötleb isikuandmeid platvormi nimel, peab nendega olema GDPR art 28 nõuetele vastav andmetöötlusleping (DPA). Lepingus tuleb reguleerida mh töötlemise eesmärk, kestus, andmeliigid, konfidentsiaalsus, turvameetmed, alltöötlejad, andmete kustutamine/tagastamine ja auditid.

Lisaks tuleb kontrollida, kas isikuandmeid edastatakse väljapoole Euroopa Majanduspiirkonda ja kas selleks on nõuetekohased kaitsemeetmed.

Kas enne käivitamist on vaja DPIA-d?

Dokumendikoopia olemasolu üksi ei tähenda automaatselt mõjuhinnangu tegemise (DPIA) kohustust. Mõjuhinnang on vajalik, kui töötlemine põhjustab tõenäoliselt suure riski füüsiliste isikute õigustele ja vabadustele. Näiteks võib risk suureneda, kui toimub ulatuslik identiteedikontroll, süstemaatiline jälgimine/profiilianalüüs või kasutatakse automatiseeritud otsuseid. Mõjuhinnangu vajadus on aga vastutava töötleja hinnata.

Kirjeldatud platvormi puhul on võimalik enne käivitamist vähemalt dokumenteerida mõjuhinnangu vajaduse hindamine; kui isikut tõendavate dokumentide kontroll on mahukas ja riskantne, tasub kaaluda täieliku mõjuhinnangu tegemist.

Täpsema info, mis toetab platvormi andmekaitselist korraldamist, leiate meie välisveebist www.aki.ee

Loodame, et selgitustest on abi.

Lugupidamisega

Andmekaitse Inspektsioon

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube