ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Wendre AS Teie 27.08.2026 Meie 11.09.2026 nr 2.2-9/26/3327-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles küsite AKI seisukohta töötajate ja

renditöötajate isikuandmete töötlemise ning audiitoritele avaldamise õiguspärasuse kohta

erinevate auditite läbiviimisel. Küsimused puudutavad muu hulgas õiguslikku alust,

minimaalsuse põhimõtte järgimist, audiitorite rolli, dokumentide esitamise viisi ning

andmesubjektide teavitamist.

Esmalt selgitan, et AKI ei saa selgitustaotlusele vastates anda konkreetsele

andmetöötlusprotsessile siduvat õiguslikku hinnangut, see on võimalik ainult

järelevalvemenetluses. Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise

esitamise seaduse §-st 3 tulenevalt on AKI-l kohustus anda õigusalaseid selgitusi asutuse

tegevuse aluseks olevate õigusaktide ning asutuse pädevuse kohta. Seetõttu on alljärgnev käsitlus

üldine ega kujuta endast hinnangut konkreetse andmetöötlustoimingu või konkreetse olukorra

õiguspärasusele.

Isikuandmete töötlemise nõuded tulenevad eelkõige isikuandmete kaitse üldmäärusest (IKÜM),

mille kohaselt peab igasuguseks isikuandmete töötlemiseks (kogumiseks, säilitamiseks,

registrisse päringute tegemiseks jne) esinema IKÜM artiklis 6 nimetatud õiguslik alus (nõusolek,

lepingu täitmine, juriidiline kohustus, avalik ülesanne, õigustatud huvi). Töötlemise õiguslikest

alustest saate lugeda AKI kodulehelt rubriigist Töötlemise õiguslikud alused. Samuti tuleb

igasugusel andmetöötlusel järgida kõiki IKÜM artiklis 5 sätestatud põhimõtteid. Põhimõtteid on

samuti AKI kodulehel avatud Andmetöötluse põhimõtted.

Seda, millisel õiguslikul alusel ja eesmärgil isikuandmeid töödeldakse, peab selgitama ja

vajaduse korral tõendama vastutav töötleja. Vastutava töötleja kohustuste kohta saab täpsemalt

lugeda siit.

Kui alus andmetöötluseks puudub, siis andmeid töödelda ei tohi. Juhin tähelepanu, et üksnes

lepingulise suhte olemasolu (käesoleva selgitustaotluse kontekstis näiteks tööandja ja audiitori

või rendiettevõtte vahel) ei määra isikuandmete töötlemise õiguspärasust ega vabasta vastutavat

töötlejat IKÜM-ist tulenevate kohustuste täitmisest, kuid on oluline taustategur õigusliku aluse

ja töötlejate rollide hindamisel. IKÜM tähenduses on oluline eristada, kes on isikuandmete

vastutav töötleja konkreetse töötlemistoimingu puhul ning millisel eesmärgil andmeid

töödeldakse. See, kas audiitor tegutseb konkreetses olukorras iseseisva vastutava töötlejana,

volitatud töötlejana või on tegemist muu rollijaotusega, sõltub konkreetse auditi eesmärgist,

sisust ja poolte tegelikest ülesannetest. Sellist hinnangut ei ole võimalik anda üldises selgituses

ilma konkreetseid asjaolusid analüüsimata.

2 (2)

Töötajate nõusolek ei ole üldjuhul sobiv õiguslik alus, kuna töösuhetes ei ole nõusolek reeglina

vabatahtlik (IKÜM põhjendus 43). Nõusoleku tingimustest saab pikemalt lugeda nõusoleku

suunistest.

Kirjeldatud olukorras isikuandmete edastamine võib põhimõtteliselt tugineda näiteks õigustatud

huvi alusele (IKÜM artikli 6 lõike 1 punkt f), kuid selle kasutamine eeldab eelnevat õigustatud

huvi analüüsi. Vastutaval töötlejal tuleb hinnata, kas esineb õiguspärane huvi, kas andmete

töötlemine on selle huvi saavutamiseks vajalik ning kas andmesubjekti õigused ja huvid ei kaalu

seda huvi üles.

Kui andmete töötlemine toimub seoses siseriiklikust õigusest või Euroopa Liidu õigusaktidest

tulenevate kohustustega (IKÜM artikli 6 lõike 1 punkt c), peab selline kohustus olema

vastutavale töötlejale vahetult kohaldatav. IKÜM artikli 6 lõike 1 punktis c sätestatud õiguslik

alus eeldab, et andmete töötlemine oleks selgelt ette nähtud või vältimatult vajalik konkreetse

õigusnormi täitmiseks. Seejuures on määrav, kas teenuse korraldaja peab oma õigusliku

kohustuse täitmiseks konkreetseid isikuandmeid töötlema. Samas tuleb rõhutada, et üldine

regulatiivne vastutus või litsentside kehtivusega seotud risk ei võrdu automaatselt konkreetse

andmetöötluskohustusega IKÜM mõttes.

Sõltumata valitud õiguslikust alusest tuleb järgida andmete minimaalsuse põhimõtet. See

tähendab, et audiitorile tuleks võimaldada juurdepääs üksnes nendele andmetele, mis on auditi

eesmärgi saavutamiseks vajalikud. Kui eesmärki on võimalik saavutada väiksema

andmemahuga, tuleks eelistada lahendusi, mis vähendavad andmesubjekti eraelu riivet, näiteks

andmete osalist varjamist, väljavõtete kasutamist või muul viisil andmemahu vähendamist.

Samuti peab vastutav töötleja hindama, millised tehnilised ja korralduslikud meetmed on

vajalikud andmete kaitseks. See puudutab muu hulgas juurdepääsude piiramist, turvalist

andmevahetust, dokumentide säilitamise korraldust ning vajaduse korral

konfidentsiaalsusnõudeid. Konkreetsete meetmete valik sõltub auditi sisust, töödeldavate

andmete liigist ja töötlemisega kaasnevatest riskidest.

Andmesubjekte tuleb teavitada nende isikuandmete töötlemisest kooskõlas IKÜM läbipaistvuse

nõuetega1. Seetõttu peaksid organisatsiooni andmekaitsetingimused ja muud töötajatele antavad

teavitused kajastama tegelikke isikuandmete töötlemise eesmärke ning vajaduse korral ka

andmete võimalikke saajaid. Töösuhetes isikuandmete töötlemise kohta leiab täpsemat teavet

AKI kodulehelt.

Loodame, et meie selgitustest on abi. Täiendavat teavet isikuandmete töötlemise õiguslike aluste,

õigustatud huvi ning töösuhetes isikuandmete töötlemise kohta leiab AKI veebilehelt

www.aki.ee. Vajadusel soovitame pöörduda õigusnõustaja või andmekaitsespetsialisti poole, kes

saab analüüsida ettevõtte konkreetset tegevust ja sellega seotud riske.

Lugupidamisega

Irina Meldjuk

jurist

peadirektori volitusel

1 Andmetöötleja peab andmesubjektile (kliendile, töötajale) andma selget ja ammendavat teavet selle kohta, kes, miks, mille alusel isikuandmeid töötleb ja millised on inimese õigused. Tavaliselt esitatakse see teave andmekaitsetingimustes.