ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp OÜ ESTEST PR

[email protected]

Teie 22.09.2026 Meie 29.09.2026 nr 2.2-9/26/3524-6

Vastus korduvale pöördumisele

Olete edastanud Andmekaitse Inspektsioonile AKI) selgitustaotluse seoses inimese päringuga

artikkel 17 alusel. Oleme saanud Teie täiendava pöördumise, sest vastus ei olnud rahuldav, sh ei

olnud vastatud küsimustele nummerdatud järjekorras. Siinkohal edastame uuesti selgitused

isikuandmete töötlemise kohta ning seejärel vastused küsimustele (11 küsimust).

Kordame,et AKI ei saa anda konkreetsetele juhtumitele siduvat õiguslikku hinnangut, see on

võimalik ainult järelevalvemenetluses. AKI-l on kohustus anda õigusalaseid selgitusi.1 Õigusalaste

selgituste andmine ei tähenda õigusabi andmist. Õigusalaste selgituste andmisega on tegemist siis,

kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse

punkti sisu ja tähendust. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste

asjaolude osas õiguslik hinnang ning praegu soovitakse õiguslikku hinnangut (sh kaaluda

järelevalvemenetluse vajalikkust) ühe ettevõtte tegevusele (ettevõte, keda on volitatud eraisiku

poolt tegema IKÜM alusel taotlust).

Millega Andmekaitse Inspektsioon tegeleb?

Andmekaitse Inspektsioon (AKI) tegeleb (füüsiliste isikute) isikuandmete kaitse ja avaliku teabe

seaduse täitmise järelevalvega. Ehk siis AKI ülesanne on tagada muuhulgas teha järelevalvet selle

üle, et inimeste isikuandmeid töödeldakse õiguspäraselt.

AKI on seadnud endale prioriteedid, millistel puhkudel peame sekkumist oluliseks ja millistel

juhtudel leiame, et probleemi on võimalik lahendada tõhusamalt muul viisil (näiteks

tsiviilkohtus). Infot selle kohta leiab siit: Kaebus isikuandmete kaitse asjas | Andmekaitse

Inspektsioon.

Järelevalvemenetluse algatamise kaalumisel hindab AKI, kas esitatud asjaoludest nähtub piisav

alus võimaliku õigusrikkumise tuvastamiseks ning kas järelevalvemenetluse läbiviimine on

konkreetse juhtumi asjaolusid arvestades põhjendatud. Menetluse algatamise üle otsustamisel

arvestatakse muu hulgas võimaliku rikkumise olemust, ulatust ja mõju, olemasolevaid tõendeid

ning vajadust rakendada seadusega ette nähtud järelevalvemeetmeid asjaolude kontrollimiseks ja

õiguspärase olukorra tagamiseks.

Mis on isikuandmed ning millal ei kohaldu IKÜM-st tulenevad reeglid?

Isikuandmete kaitse üldmääruse (IKÜM) kohaselt on isikuandmed kõik andmed üksikuna või

kogumis, mille kaudu inimene on otseselt või kaudselt äratuntav, näiteks nimi, isikukood,

1 Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse § 3.

2 (8)

asukohateave, võrguidentifikaatorid, samuti füüsilised, geneetilised, vaimsed, majanduslikud,

kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende kombinatsioonid2.Ehk

siis kui inimene on tuvastatav läbi mingite parameetrite, siis saab neid andmeid lugeda

isikuandmeteks.

Isikuandmete kaitse reeglid ei kehti kui teave ei võimalda isikut mõistlike pingutustega tuvastada3

ja ka siis kui isikuandmeid ei ole. Tuleb arvestada, et isikuandmed on ainult füüsilisel isikul.

Juriidilisel isikul puudub eraelu ning seega ka isikuandmed, seetõttu ei kohaldu ka

andmekaitsereeglid.

IKÜM4 nõudeid ei kohaldata kui isikuandmeid töötleb füüsiline isik eranditult isiklike või koduste

tegevuste käigus. See tähendab, et IKÜM ei kohaldu olukordadele, kus isikuandmeid kasutatakse

isiklikul eesmärgil. Isiklikuks eesmärgiks on eelkõige andmete jagamine pereringis, sõpruskonnas

või muus väikeses grupis.

Mis on isikuandmete töötlemine?

Isikuandmete töötlemine on igasugune tegevus isikuandmetega, sõltumata sellest, kas seda tehakse

automatiseeritult või käsitsi.

IKÜM artikli 4 lõike 2 kohaselt hõlmab töötlemine muu hulgas isikuandmete kogumist,

salvestamist, korrastamist, säilitamist, muutmist või täiendamist, vaatamist, kasutamist,

edastamist, avalikustamist, ühendamist, võrdlemist, piiramist, kustutamist või hävitamist.

Näiteks ostu-müügi lepingut sisaldavaid isikuandmeid võib säilitada seni, kuni see on vajalik

lepingu täitmiseks, ettevõtte õiguste kaitsmiseks või seadusest tuleneva kohustuse täitmiseks. Kui

leping on raamatupidamise seisukohast asjakohane dokument, tuleb seda üldjuhul säilitada

vähemalt 7 aastat seaduses ettenähtud korras. Pärast säilitamise eesmärgi äralangemist tuleb

isikuandmed kustutada või anonüümida, välja arvatud juhul, kui nende edasiseks säilitamiseks

esineb muu õiguslik alus. Seda, mis see (muu) õiguslik alus on, peab enda tegevuse spetsiifikast

teadma eelkõige andmetöötleja.

Isikuandmete töötlemiseks loetakse kogu andmete „elutsüklit“ alates kogumisest kuni

kustutamiseni.

Milline peab olema isikuandmete töötlemine?

IKÜM5 sätestab, et isikuandmete töötlemine peab olema seaduslik ja inimesele läbipaistev; samuti

tohib isikuandmeid töödelda (sh koguda, säilitada jne) üksnes kindlaksmääratud õiguspärastel

eesmärkidel6 ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid7. Isikuandmete

töötlemise õiguslike aluste loetelu on sätestatud IKÜM artiklis 6. Seda, kas, millisel õiguslikul

alusel ja eesmärgil andmetöötlust läbi viiakse, peab IKÜM-i8 kohaselt selgitama ja tõendama iga

andmetöötleja ise vastavalt töödeldavatele andmetele.

Kui õiguslik alus isikuandmete töötlemiseks puudub, siis andmeid töödelda (sh koguda, edastada,

salvestada, säilitada vms) ei tohi. Niisama igaks juhuks andmeid töödelda eesmärgiga, et ehk

hiljem on tarvis, ei ole samuti lubatud.

2 üldmääruse art. 4 p.1; direktiivi art. 3 p. 1. 3 Vt üldmääruse põhjenduspunkt 26 ja 57 ning art. 11; direktiivi pp. 21. 4 IKÜM artikli 2 lõike 2 punkti c kohaselt 5 IKÜM art 5 lg 1 p a 6 IKÜM art 5 lg 1 p b 7 IKÜM art 5 lg 1 p c 8 IKÜM art 5 lg 2

3 (8)

Teisisõnu, isikuandmete töötleja peab olema võimeline igal ajal määratlema, millisel õiguslikul

alusel isikuandmeid töödeldakse (sh säilitatakse). See kohustus tuleneb eelkõige IKÜM artikli 5

lõikes 2 sätestatud vastutuse põhimõttest ning artiklist 6, mille kohaselt on isikuandmete

töötlemine lubatud üksnes konkreetse õigusliku aluse olemasolul. Kui vastutav töötleja ei suuda

tuvastada isikuandmete töötlemise õiguslikku alust, ei ole tal võimalik tõendada töötlemise

õiguspärasust. Pelgalt „mina tahan ja töötlen, sh säilitan“ ei ole isikuandmete töötlemisel

õiguslikuks aluseks.

Millised õigused on inimesel, kelle isikuandmeid ettevõte töötleb?

Inimesel, kelle andmeid töödeldakse, on õigus andmetöötleja poole pöörduda järgmiste

taotlustega:

- nõuda võimalust oma andmetega tutvuda ehk siis saada teada, kuidas ja milliseid pöörduja

isikuandmeid töödeldakse, sh kellele tema isikuandmeid edastatakse (ettevõttevälised isikud, nt

maksu- ja tolliamet, tervisekassa vms) ning kes neid andmeid veel töötleb (ettevõttesisesed

isikud ning ettevõttega seotud isikud, nt raamatupidamisteenuse osutaja), mistõttu tasub

eeskirjadesse kirja panna ning andmesubjektidele tutvustada enne nende isikuandmete

töötlemist.

- nõuda oma isikuandmete parandamist.

- nõuda oma isikuandmete kustutamist.

- nõuda oma isikuandmete töötlemise piiramist.

- nõuda oma isikuandmete ülekandmist.

Andmetöötleja peab pöördumisele vastama ühe kuu jooksul ning teavitama, kas taotluse täidab

või mitte. Keeldumise korral tuleb otsust põhjendada. Kui inimene ei saa vastust või peab seda

ebapiisavaks, on tal võimalik pöörduda AKI poole. Seetõttu on oluline, et andmetöötleja oleks

avaldanud selged andmekaitsetingimused, kust inimesed saaksid kätte kogu vajaliku info oma

isikuandmete töötlemise kohta (sh kes neid kogub, kaua, kuidas oma õiguseid kaitsta jne).

Mis on andmetöötlusregister ning miks see on oluline andmesubjekti õiguste tagamisel?

Andmetöötlusregister ehk töötlemistoimingute register on IKÜM artiklis 30 sätestatud dokument,

milles vastutav töötleja kaardistab muu hulgas töödeldavad isikuandmed, töötlemise eesmärgid,

andmesubjektide kategooriad, vastuvõtjad, säilitustähtajad ja turvameetmed. Register aitab

organisatsioonil omada ülevaadet sellest, milliseid isikuandmeid, mis eesmärkidel ja millistes

süsteemides töödeldakse. Seetõttu on sellel oluline roll ka andmesubjektide õiguste tagamisel,

kuna register võimaldab tõhusamalt tuvastada, kas ja kus andmesubjekti andmeid töödeldakse.

Hästi hallatud register aitab muu hulgas täita juurdepääsu-, parandamis-, kustutamis- ja töötlemise

piiramise taotlusi ning tagada, et vastused oleksid täielikud ja õigeaegsed. Kuigi

andmetöötlusregister ei ole mõeldud andmesubjektidele avaldamiseks, on see oluline vastutuse

põhimõtte rakendamise vahend, mis aitab vastutaval töötlejal tõendada IKÜMi nõuete järgimist.

Millised on praktilised soovitused ettevõtetele seoses isikuandmete töötlemisega, mida tuleb

kindlasti läbi mõelda?

1. Kas ettevõte töötleb isikuandmeid? Isikuandmete töötlemine algab juba siis, kui ettevõte kogub klientide, töötajate,

koostööpartnerite või veebilehe kasutajate nimesid, kontaktandmeid või muid isikuga

seostatavaid andmeid.

2. Milliseid isikuandmeid töödeldakse? Tuleb kaardistada kõik töödeldavad andmed, näiteks töötajate andmed, kliendiandmed,

videovalve salvestised, e-kirjad, logid ja veebiküpsiste kaudu kogutavad andmed.

4 (8)

3. Mis eesmärgil andmeid töödeldakse? Iga töötlemistoimingu jaoks peab olema selge eesmärk, näiteks lepingu täitmine,

personalitöö, turundus või seadusest tuleneva kohustuse täitmine.

4. Mis on töötlemise õiguslik alus? Tuleb kindlaks teha, kas töötlemine põhineb näiteks lepingul, seadusest tuleneval

kohustusel, nõusolekul, õigustatud huvil või mõnel muul IKÜMi artikli 6 alusel.

5. Kas kogutakse ainult vajalikke andmeid? Ettevõte peab hindama, kas kõik kogutavad andmed on eesmärgi saavutamiseks

tegelikult vajalikud või saaks osa neist jätta kogumata.

6. Kui kaua andmeid säilitatakse (sh nii e-postkastis kui paberarhiivis)? Iga andmekategooria puhul tuleb määrata põhjendatud säilitustähtaeg ning hinnata, millal

tuleb andmed kustutada või anonüümida.

7. Kes andmetele ligi pääsevad? Tuleb määrata töötajad, teenusepakkujad ja partnerid, kellel on andmetele juurdepääs,

ning kontrollida, kas juurdepääs on vajalik ja piiratud.

8. Kas kasutatakse volitatud töötlejaid? Näiteks pilveteenuse pakkujad, raamatupidamisbürood, IT-partnerid või

personalihaldustarkvara pakkujad. Nendega peab olema sõlmitud nõuetekohane

andmetöötlusleping.

9. Kuidas tagatakse andmete turvalisus? Tuleb hinnata tehnilisi ja korralduslikke meetmeid, nagu ligipääsuhaldus, paroolid,

krüpteerimine, logimine, varukoopiad ja töötajate teadlikkus.

10. Kas ettevõte suudab tagada andmesubjektide õigused? Ettevõte peab teadma, kust andmeid leida ning kuidas vastata juurdepääsu-, parandamis-,

kustutamis-, piiramis- ja vastuväide taotlustele. Praktikas ongi siin suureks abiks korras

andmetöötlusregister.

Kordame, et andmetöötlejal tuleb esmalt välja selgitama, kas ta töötleb isikuandmeid, seejärel

miks ja millisel alusel ta neid töötleb, ning lõpuks kuidas tagada nende kaitse ja inimeste õigused.

Enamik probleeme isikuandmete töötlemisel tuleneb sellest, et mõni neist küsimustest on jäetud

süsteemselt ning sisuliselt läbi mõtlemata.

Järgnevalt vastame küsimustele, mis on adresseeritud AKI-le:

1. Milline on IKÜM artikli 17 alusel esitatud kustutamistaotluse menetlemisel vastutava töötleja

kontrollikohustuse ulatus olukorras, kus taotluses nimetatud isik ega tema kontaktandmed ei

ole ettevõtjale tuttavad ning tavapärase kontrolli käigus tema andmeid ei leita?

Kui vastutav töötleja saab IKÜM artikli 17 alusel kustutamistaotluse, kuid taotluses nimetatud isik

ega tema kontaktandmed ei ole ettevõtjale tuttavad ning tavapärase kontrolli käigus tema andmeid

ei leita, peab andmetöötleja siiski täitma oma kontrollikohustuse. See tähendab, et andmetöötleja

peab hindama, kas tal on võimalik taotluse esitanud isiku andmeid tuvastada ja leida. Kui andmeid

ei leita, tuleb taotlejat sellest teavitada ning selgitada, et läbiviidud kontrolli tulemusel ei

õnnestunud andmesubjekti andmeid tuvastada. Olukorras kus taotluses esitatud andmetest ei piisa

isiku tuvastamiseks või andmete leidmiseks, võib töötleja paluda taotluse täpsustamiseks

täiendavat teavet.

2. Kas vastutav töötleja võib sellises olukorras paluda andmesubjektil või tema volitatud

esindajal täpsustada võimalikku varasemat kontakti?

Jah, vastutav töötleja võib sellises olukorras paluda andmesubjektil või tema volitatud esindajal

täpsustada võimalikku varasemat kontakti. Kui töötleja ei suuda tavapärase kontrolli käigus

andmeid tuvastada, on tal õigus küsida täiendavat teavet taotluse täpsustamiseks, et tagada taotluse

nõuetekohane täitmine. Rohkem informatsiooni selle kohta leiab ka siit: Isikuandmete

kustutamine | Andmekaitse Inspektsioon.

5 (8)

3. Kui kaugele ulatub vastutava töötleja kohustus otsida andmeid ajaloolistest arhiividest? Kas

näiteks aastakümneid tegutsenud ettevõtjalt võib kontekstivaba kustutamistaotluse korral

nõuda suure hulga nime järgi mitteotsitavate paberdokumentide käsitsi läbivaatamist üksnes

selleks, et välistada võimalus, et konkreetse inimese nimi võib mõnes ajaloolises dokumendis

esineda?

Vastutava töötleja kohustus andmeid enda töödeldavatest andmetest otsida ja kustutamistaotlust

menetleda peab olema proportsionaalne. Kui kustutamistaotlus on kontekstivaba ja pöörduja ei

anna piisavalt teavet, et andmeid tuvastada, ei ole vastutaval töötlejal kohustust teha

ebaproportsionaalseid pingutusi, näiteks käsitsi läbi vaadata suure hulga paberdokumente, mis ei

ole nime järgi otsitavad.

IKÜM nõuab, et töötleja võtaks tarvitusele mõistlikud abinõud ja kasutaks tehnilisi vahendeid,

kuid ei eelda ebaproportsionaalseid jõupingutusi, kui see ei ole võimalik või on liiga koormav ⁽¹⁾.

Kui andmesubjekt ei esita piisavalt täpset teavet, võib vastutav töötleja paluda taotluse

täpsustamist, et teha kindlaks, milliseid andmeid otsida.

4. Kas vastutaval töötlejal on kohustus iseseisvalt välja selgitada, milline võis olla andmesubjekti

ajalooline seos ettevõtjaga? Teisisõnu: kui taotluse esitaja ei tea või ei avalda, millal ja millises

kontekstis võis andmesubjekti andmete töötlemine aset leida, kas vastutav töötleja peab ise

hakkama võimalikku seost uurima või võib pärast mõistlikku esmast kontrolli paluda taotluse

esitajal otsingut täpsustada?

Üldjuhul ei saa vastutav töötleja jätta taotlust täitmata üksnes põhjusel, et andmesubjekt ei oska

selgitada, milline oli tema ajalooline seos ettevõtjaga või millal võis andmete töötlemine aset leida.

Andmesubjektil ei ole kohustust põhjendada oma andmesubjekti õiguste kasutamist. Vastutav

töötleja peab tegema mõistlikud pingutused, et kontrollida, kas ja milliseid isikuandmeid ta

andmesubjekti kohta töötleb.

5. Millist täiendavat teavet võib vastutav töötleja taotluse mõistlikuks piiritlemiseks küsida?

Palume muu hulgas selgitada, kuidas suhestuvad sellise olukorraga IKÜM artiklid 11 ja 12

ning põhjenduspunktis 63 toodud võimalus paluda suure andmemahu korral andmesubjektil

täpsustada, millist teavet või milliseid töötlemistoiminguid taotlus puudutab.

Vastutav töötleja võib küsida üksnes sellist täiendavat teavet, mis on objektiivselt vajalik taotluse

menetlemiseks, näiteks andmesubjekti tuvastamiseks või asjakohaste andmete leidmiseks. IKÜM

artiklist 12 tuleneb, et vastutav töötleja peab hõlbustama andmesubjekti õiguste kasutamist ega või

nõuda juurdepääsuõiguse kasutamise põhjendamist. Kui vastutav töötleja töötleb andmesubjekti

kohta suures mahus andmeid, võib ta IKÜMi põhjenduspunkti 63 kohaselt paluda täpsustada,

millist teavet või milliseid töötlemistoiminguid taotlus puudutab. Selleks võib vastutav töötleja

küsida näiteks võimalikku õigussuhet, sündmust või ajavahemikku, mille jooksul andmete

töötlemine võis aset leida, kui see aitab asjakohaseid andmeid leida. Küsitav lisateave peab siiski

piirduma sellega, mis on taotluse tõhusaks menetlemiseks vajalik ja proportsionaalne.

6. Kuidas tuleb käsitleda standardiseeritud või automatiseeritud viisil suurele hulgale

ettevõtjatele saadetavaid andmesubjekti taotlusi? Kas taotluse automatiseeritud või massiline

esitamise viis võib omada tähendust vastutava töötleja kohustuste ja taotluse proportsionaalse

menetlemise hindamisel? Mõistame, et erinevate andmesubjektide taotlused ei muutu üksnes

ühise esindaja või tehnilise lahenduse tõttu automaatselt ühe andmesubjekti korduvateks

taotlusteks. Küsimus puudutab seda, kas esitamise viisil võib siiski olla õiguslikku tähendust

taotluse menetlemise ulatuse ja halduskoormuse hindamisel.

Taotluse standardiseeritud, automatiseeritud või massiline esitamise viis ei muuda iseenesest

andmesubjekti õiguste ulatust ega vabasta vastutavat töötlejat kohustusest taotlusega tegeleda.

6 (8)

Asjaolu, et taotlused on esitatud ühise esindaja vahendusel või tehnilise lahenduse abil suurele

hulgale ettevõtjatele (hetkel on meile siiski teada üks pöördumine Teie ettevõtte poole), ei anna

iseenesest alust pidada neid põhjendamatuks, ülemääraseks või korduvaks. Samas võib taotluse

esitamise viis olla üks asjaolu, mida vastutav töötleja arvestab taotluse praktilisel menetlemisel,

eelkõige hinnates vajadust taotluse täpsustamiseks või andmesubjekti tuvastamiseks vajaliku

lisateabe küsimiseks. Kui taotluse sõnastus on üldine ning ei võimalda mõistlikult kindlaks teha,

milliseid andmeid või töötlemistoiminguid see puudutab, võib vastutav töötleja kooskõlas IKÜMi

artikliga 12 ja põhjenduspunktiga 63 paluda taotluse täpsustamist. Seejuures tuleb iga taotlust

hinnata eraldi ning vastutav töötleja ei saa üksnes taotluse automatiseeritud esitamise tõttu piirata

andmesubjekti õigusi või keelduda taotluse täitmisest.

7. Kuidas tuleb sellistes olukordades kohaldada IKÜM artikli 12 lõiget 5? Millistel asjaoludel

võib taotlust pidada ilmselgelt põhjendamatuks või ülemääraseks ning millist tähendust võivad

omada taotluse korduvus, ulatus, otsingu objektiivne töömahukus ja taotluse esitaja keeldumine

talle teadaoleva otsingut piiritleva teabe esitamisest?

IKÜM artikli 12 lõiget 5 tuleks tõlgendada kitsalt ning vastutaval töötlejal lasub kohustus

tõendada, et taotlus on ilmselgelt põhjendamatu või ülemäärane. Ainuüksi asjaolu, et taotlus on

esitatud standardiseeritud vormis, automatiseeritult või suurele hulgale ettevõtjatele korraga, ei

anna üldjuhul alust lugeda seda ilmselgelt põhjendamatuks või ülemääraseks. Euroopa

Andmekaitsenõukoja suunis9 rõhutab samuti, et andmesubjekt ei pea juurdepääsuõiguse

kasutamist põhjendama.

Taotluse ülemäärasuse hindamisel võib siiski tähtsust omada näiteks sama andmesubjekti korduv

taotluste esitamine lühikese aja jooksul, väga suure hulga andmete hõlmatus või olukord, kus

taotluse täitmine nõuaks ebaproportsionaalselt ulatuslikke otsinguid. Samuti võib asjakohane olla

see, kui taotluse esitaja jätab esitamata talle teadaoleva teabe, mis võimaldaks taotlust mõistlikult

piiritleda, kuigi vastutav töötleja on sellist teavet põhjendatult küsinud. Sellisel juhul võib vastutav

töötleja paluda taotluse täpsustamist, eelkõige olukordades, millele viitab IKÜMi põhjenduspunkt

63, kuid see ei tähenda automaatselt, et taotlus oleks ilmselgelt põhjendamatu või ülemäärane.

Seega tuleb iga juhtumit hinnata eraldi, võttes arvesse nii andmesubjekti õiguste tõhusa kaitse

vajadust kui ka taotluse tegelikku ulatust ja menetlemisega seotud objektiivseid asjaolusid. Pelgalt

suur halduskoormus või taotluste massiline esitamine ei ole üldjuhul piisav alus IKÜM artikli 12

lõike 5 kohaldamiseks.10

8. Kuidas määratakse IKÜM artikli 12 lõike 5 alusel küsitav mõistlik tasu? Kui nimetatud sätte

kohaldamise eeldused on täidetud, siis milliseid tegelikke halduskulusid võib vastutav töötleja

tasu määramisel arvesse võtta? Kas arvesse võib võtta näiteks töötajate tööaega, arhiiviotsingu

tegelikku kulu, tehnilisi otsinguid või põhjendatult vajalikku välise spetsialisti abi?

Kui erandi kohaldamise tingimused on täidetud, arvutatakse mõistlik tasu järgmiselt:

Põhineb tegelikel halduskuludel: Artikkel 12 lõike 5 punkt a sätestab, et tasu määramisel tuleb

võtta arvesse halduskulu, mis kaasneb teabe esitamise, teavitamise või taotletud meetmete

võtmisega.

IKÜM ei täpsusta ammendavalt, millised kulud võivad moodustada mõistliku tasu. Vastutav

töötleja peab suutma põhjendada, et tasu vastab konkreetse taotluse menetlemise tegelikele

halduskuludele.

9 edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 10 edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf

7 (8)

Keelatud kulud: Tasu ei tohi sisaldada kasumimarginaali ega üldiseid tegevuskulusid, mida

vastutav töötleja peab tegema oma tavapärase andmekaitsele vastavuse tagamiseks. Tasu eesmärk

on heastada üksnes konkreetse ülemäärase taotlusega tekitatud otsekulud, mitte karistada

andmesubjekti.

Tuleb eristada artikli 12 lõiget 5 artikli 15 lõikest 3: Kui andmesubjekt taotleb sama teabe

täiendavaid lisakoopiaid (olemasoleva koopia kõrvale), võib vastutav töötleja küsida

halduskuludel põhinevat mõistlikku tasu ilma, et ta peaks tõendama taotluse selget põhjendamatust

või ülemäärast laadi. Esimene koopia ja esmane tutvumisõigus peavad olema tasuta, välja arvatud

juhul, kui vastutav töötleja tõendab taotluse selgelt põhjendamatut või ülemäärast (nt

kuritarvituslikku) iseloomu.

IKÜM põhjenduspunkt 59 märgib samuti, millega andmetöötleja peab arvestama kui inimene

soovib oma õiguseid teostada: Tuleks ette näha kord, millega lihtsustatakse käesoleva määrusega

andmesubjektile antud õiguste kasutamist, sealhulgas mehhanismid, mille abil taotleda ja

vajaduse korral hankida tasuta eelkõige juurdepääsu õigusele nõuda isikuandmete parandamist

või kustutamist ning kasutada õigust esitada vastuväiteid. Vastutav töötleja peaks samuti

kättesaadavaks tegema vahendid, millega taotluse saab esitada elektrooniliselt, eriti kui

isikuandmeid töödeldakse elektrooniliste vahenditega. Vastutav töötleja peaks olema kohustatud

vastama andmesubjekti taotlustele põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul ning kui

vastutav töötleja ei kavatse andmesubjekti taotlust rahuldada, siis seda põhjendama.

9. Millised IKÜM-ist tulenevad kohustused on professionaalsel teenuseosutajal, kes kogub või

hangib isikuandmeid selleks, et määrata kindlaks ettevõtjad, kellele andmesubjekti nimel

taotlusi saata? Palusime selgitada muu hulgas sellise töötlemise õigusliku aluse, läbipaistvuse

ning IKÜM artikli 14 võimaliku kohaldumise põhimõtteid olukorras, kus andmed ei pärine

andmesubjektilt endalt.

Viidatud teenuse osutajal on täpselt samad kohustused nagu on Teie ettevõttel- igaks isikuandmete

töötlemiseks, sh kogumiseks ja säilitamiseks, peab olema õiguslik alus. Andmetöötlus peab olema

läbipaistev (saadaval peab olema andmekaitsetingimused)— järgida tuleb kõiki IKÜM-st

tulenevaid reegleid.

10. Kas vastutav töötleja võib küsida selliselt professionaalselt esindajalt taotluse mõistlikuks

piiritlemiseks teavet selle kohta, millise faktilise asjaolu tõttu on konkreetne ettevõtja valitud

taotluse adressaadiks? Me ei pea siin silmas nõuet avaldada esindaja ärisaladust ega kogu tema

metoodikat. Küsimus on selles, kas vastutav töötleja võib paluda vähemalt sellist faktilist

konteksti, mis võimaldaks tal kontrollida õigeid andmekogusid ja ajavahemikke.

Vastutav töötleja võib taotluse täpsustamiseks paluda taotlejalt või tema esindajalt täiendavaid

selgitusi, kui need on vajalikud taotluse sisu mõistmiseks või taotluse mõistlikuks piiritlemiseks.

See võib hõlmata näiteks teavet selle kohta, millise sündmuse, õigussuhte või muu faktilise seose

tõttu eeldab andmesubjekt, et konkreetne ettevõtja tema isikuandmeid töötleb. Sellise teabe

küsimise eesmärk ei ole saada teavet esindaja ärisaladuse, töömeetodite või muu konfidentsiaalse

teabe kohta, vaid võimaldada vastutaval töötlejal teha tõhus ja sihipärane otsing asjakohastest

andmetest.

Samas ei saa vastutav töötleja nõuda andmesubjektilt või tema esindajalt põhjendust

isikuandmetega tutvumise õiguse kasutamiseks ega seada taotluse menetlemist sõltuvusse sellise

põhjenduse esitamisest.

Küsitav lisateave peab olema objektiivselt vajalik taotluse nõuetekohaseks täitmiseks ning

piirduma üksnes eesmärgi saavutamiseks vajaliku ulatusega11. 11 Kooskõla IKÜM artikli 12 lõikega 6 ja artikli 15 eesmärgiga: töötleja võib küsida täpsustusi, et taotlust menetleda, kuid ei või hakata uurima,

miks andmesubjekt oma õigust kasutab.

8 (8)

11. Kas vastutaval töötlejal, kes pärast mõistlikku kontrolli tuvastab, et taotluses nimetatud

andmesubjekti isikuandmeid ei töödelda ega ole tuvastatavalt töödeldud, on IKÜM-ist tulenev

kohustus anda sellest andmesubjektile või tema volitatud esindajale eraldi kirjalik kinnitus?

Jah, andmetöötleja peab andmesubjekti (ja/või tema esindaja) taotlusele vastama ning teavitama,

kui tema käsutuses oleva teabe kohaselt andmesubjekti isikuandmeid ei töödelda.

Kokkuvõtteks selgitame, et isikuandmete töötlemist reguleerib IKÜM. IKÜM artikkel 17 annab

inimesele õiguse andmete kustutamise nõudeks. Tegemist ei ole aga absoluutse õigusega.

Isikuandmete töötleja on kohustatud inimese andmed kustutada üksnes sama sätte lõikes 1

loetletud juhtudel, eelkõige kui isikuandmeid töödeldakse ebaseaduslikult. Seda, kas Teie ettevõte

töötleb pöörduja isikuandmeid ning kas nende töötlemine on kohane ning õiguspärane, mh näiteks

30 aastat, peab teadma ning selgitama vastutav töötleja ehk Teie.

Lõpetuseks, iga ettevõte peaks esmalt välja selgitama, kas ta töötleb isikuandmeid, seejärel miks

ja millisel alusel ta neid töötleb, ning lõpuks kuidas tagada nende kaitse ja andmesubjektide

õigused. Enamik andmekaitseprobleeme tuleneb sellest, et mõni neist küsimustest on jäetud

süsteemselt läbi mõtlemata.

Lisainformatsiooni saamiseks palumegi tutvuda AKI veebilehel avaldatud materjalidega, mis

toetavad andmetöötlejat:

 AKI on andmetöötlejale koostanud teemakohaseid materjale, mis on koondatud siia:

Andmetöötluse põhimõtted | Andmekaitse Inspektsioon.

 Korduma kippuvad küsimused (KKK);

 isikuandmete töötlemise üldjuhend, kus on kirjas kõige olulisem, mida isikuandmete

töötleja peab teadma.

 Andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel leiab informatsiooni

siit.

 Andmekaitsetingimuste koostamisest: Andmekaitsetingimuste koostamine | Andmekaitse

Inspektsioon;

 Abimaterjalide alt on leitavad: vastavus isikuandmete kaitse üldmäärusega,

andmekaitsetingimused ja nõusolek.

 Andmekaitse Inspektsioonil on ka kasutuses Bürokratt, mis asub veebilehel all paremas

nurgas ning mis abistab erinevate küsimuste korral.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist

peadirektori volitusel