Tere

Andmekaitse Inspektsioon (AKI) sai pöördumise, milles soovite teada, millised andmekaitsealased nõuded võivad kohalduda teie ettevõttes kavandatavale erinevatele tegevustele.

Esmalt selgitame, et AKI ei saa selgitustaotluse raames anda konkreetsele ettevõttele, tegevusele või tehnilisele lahendusele siduvat õiguslikku hinnangut; see on võimalik üksnes järelevalvemenetluses.[1] AKI saab anda õigusalaseid selgitusi õigusnormide sisu, eesmärgi ja üldise kohaldamise kohta, kuid mitte hinnata ette konkreetse ettevõtte tegevuse vastavust andmekaitsenõuetele.

Isikuandmete kaitse nõuded tulenevad Eestis eelkõige isikuandmete kaitse üldmäärusest (IKÜM) ning isikuandmete kaitse seadusest (IKS), kuid sõltuvalt tegevusvaldkonnast võivad täiendavad kohustused tuleneda ka muudest õigusaktidest. Käesolevas vastuses annamegi üldised selgitused nendest õigusaktidest tulenevate andmekaitsealaste nõuete ja põhimõtete kohta, mille täitmise üle AKI järelevalvet teostab.

Pöördumises esitatud küsimused ning vastused:

1. Millistel juhtudel käsitatakse meid vastutava ja millistel juhtudel volitatud töötlejana?

See sõltub eelkõige sellest, kes määrab isikuandmete töötlemise eesmärgid ja vahendid (IKÜM art 4 p-d 7 ja 8).

Kirjeldatud olukorras, kus teie ettevõte pakub klientidele erinevaid teenuseid (tarkvara jne) ning klient otsustab, milliseid isikuandmeid süsteemi sisestatakse, milleks neid kasutatakse ja kui kaua säilitatakse, olete üldjuhul volitatud töötleja ning klient on vastutav töötleja.

Kui aga otsustate ise, milliseid isikuandmeid kogutakse või kasutate kliendi andmeid enda eesmärkidel (näiteks teenuse arendamiseks, analüüsimiseks või muul iseseisval eesmärgil), võite olla nende toimingute osas vastutav töötleja või kaasvastutav töötleja. Rollide määramisel tuleb lähtuda tegelikest asjaoludest, mitte üksnes lepingu sõnastusest.

2. Millised kokkulepped või andmetöötluslepingud peaksid olema meie ja kliendi vahel?

Vastutaval ja volitatud töötlejal tuleb sõlmida IKÜM artikli 28 nõuetele vastav andmetöötlusleping.

Lepingus peaks muu hulgas olema reguleeritud:

• * töötlemise eesmärk ja kestus;
• * töödeldavate andmete liigid;
• * andmesubjektide kategooriad;
• * turvameetmed;
• * teiste volitatud töötlejate kasutamise tingimused;
• * andmerikkumistest teavitamise kord;
• * andmete tagastamine või kustutamine lepingu lõppemisel.

Kui kasutatakse omakorda pilveteenuse pakkujaid või muid teenuseosutajaid, tuleb arvestada ka volitatud töötlejate kasutamise nõudeid (IKÜM art 28 lg-d 2 ja 4), sh kas see on üldse lubatud lepingu järgi.

3. Kas sellise teenuse osutamisega kaasneb Andmekaitse Inspektsioonile mõni registreerimis-, teavitamis- või muu formaalne kohustus?

Üldjuhul ei näe IKÜM ega isikuandmete kaitse seadus sellise tarkvarateenuse osutamise puhul ette registreerimis- või eelnevat loakohustust.

Samas tuleb andmetöötlejal järgida vastutuse põhimõtet (IKÜM art 5 lg 2) ning olla valmis tõendama vastavust andmekaitsenõuetele (sh väljastama dokumentatsiooni AKI-le vms).

AKI teavitamise kohustus võib tekkida näiteks isikuandmetega seotud rikkumise korral (IKÜM art 33) või juhtudel, kus töötlemisega kaasneb kõrge risk ning vajalik on andmekaitsealane mõjuhinnang (IKÜM art 35).

4. Millised dokumenteerimis- ja turvameetmed oleks sellise teenuse puhul mõistlik juba algusest peale kasutusele võtta?

Soovitame lähtuda põhimõttest „andmekaitse lõimituna ja vaikimisi“ (IKÜM art 25).

Praktikas tuleks juba teenuse kavandamisel ette näha vähemalt järgmised meetmed:

• * töötlemistoimingute registri pidamine (IKÜM art 30);
• * andmekaitsetingimuste koostamine;
• * ligipääsuõiguste haldus;
• * kasutajate autentimine;
• * tegevuslogide pidamine;
• * andmete krüpteerimine või pseudonüümimine, kui see on asjakohane;
• * protseduur andmerikkumiste käsitlemiseks;
• * töötajate koolitamine ja konfidentsiaalsuskohustused.

Turvameetmed peavad vastama töötlemisega kaasnevatele riskidele (IKÜM art 32).

5. Kas erinevate klientide andmete majutamisel ühises infrastruktuuris on andmekaitse seisukohalt nõudeid või soovitusi, mida peaksime arhitektuuri kavandamisel arvestama?

IKÜM ei keela erinevate klientide andmete majutamist ühises infrastruktuuris.

Oluline on tagada, et:
- ühe kliendi andmed ei oleks teisele kliendile kättesaadavad;
- andmed oleksid loogiliselt või tehniliselt eraldatud;
- juurdepääsud oleksid piiratud vastavalt tööülesannetele;
- tegevused oleksid logitavad;
- rakendatud oleksid asjakohased tehnilised ja korralduslikud turvameetmed (IKÜM art 32).

Selline lähenemine aitab täita ka turvalisuse ja konfidentsiaalsuse põhimõtet (IKÜM art 5 lg 1 p f).

Lisaks kõigele eelnevale soovitame kindlasti tähelepanu pöörata ja hinnata:

• * kas ja millal toimub andmete edastamine väljapoole Euroopa Majanduspiirkonda (IKÜM V peatükk);
• * milliseid teisi töötlejaid kasutatakse;
• * kuidas toimub andmete kustutamine või tagastamine kliendisuhte lõppemisel;
• * kuidas toetatakse klienti andmesubjektide õiguste täitmisel (IKÜM art-d 15-22);
• * kas töödeldakse eriliigilisi isikuandmeid (IKÜM art 9);
• * kas mõne teenuse puhul võib tekkida andmekaitsealase mõjuhinnangu tegemise kohustus (IKÜM art 35).

Lisaks viitame praktilistele soovitustele ettevõtetele seoses isikuandmete töötlemisega, mida tuleks kindlasti läbi mõelda igal ettevõttel:

1. 1. Kas ettevõte töötleb isikuandmeid?
   Isikuandmete töötlemine algab juba siis, kui ettevõte kogub klientide, töötajate, koostööpartnerite või veebilehe kasutajate nimesid, kontaktandmeid või muid isikuga seostatavaid andmeid.
   
   
2. 2. Milliseid isikuandmeid töödeldakse?
   Tuleb kaardistada kõik töödeldavad andmed, näiteks töötajate andmed, kliendiandmed, videovalve salvestised, e-kirjad, logid ja veebiküpsiste kaudu kogutavad andmed.
   
   
3. 3. Mis eesmärgil andmeid töödeldakse?
   Iga töötlemistoimingu jaoks peab olema selge eesmärk, näiteks lepingu täitmine, personalitöö, turundus või seadusest tuleneva kohustuse täitmine.
   
   
4. 4. Mis on töötlemise õiguslik alus?
   Tuleb kindlaks teha, kas töötlemine põhineb näiteks lepingul, seadusest tuleneval kohustusel, nõusolekul, õigustatud huvil või mõnel muul IKÜMi artikli 6 alusel.
   
   
5. 5. Kas kogutakse ainult vajalikke andmeid?
   Ettevõte peab hindama, kas kõik kogutavad andmed on eesmärgi saavutamiseks tegelikult vajalikud või saaks osa neist jätta kogumata.
   
   
6. 6. Kui kaua andmeid säilitatakse (sh nii e-postkastis kui paberarhiivis)?
   Iga andmekategooria puhul tuleb määrata põhjendatud säilitustähtaeg ning hinnata, millal tuleb andmed kustutada või anonüümida.
   
   
7. 7. Kes andmetele ligi pääsevad?
   Tuleb määrata töötajad, teenusepakkujad ja partnerid, kellel on andmetele juurdepääs, ning kontrollida, kas juurdepääs on vajalik ja piiratud.
   
   
8. 8. Kas kasutatakse volitatud töötlejaid?
   Näiteks pilveteenuse pakkujad, raamatupidamisbürood, IT-partnerid või personalihaldustarkvara pakkujad. Nendega peab olema sõlmitud nõuetekohane andmetöötlusleping.
   
   
9. 9. Kuidas tagatakse andmete turvalisus?
   Tuleb hinnata tehnilisi ja korralduslikke meetmeid, nagu ligipääsuhaldus, paroolid, krüpteerimine, logimine, varukoopiad ja töötajate teadlikkus.
   
   
10. 10. Kas ettevõte suudab tagada andmesubjektide õigused?
    Ettevõte peab teadma, kust andmeid leida ning kuidas vastata juurdepääsu-, parandamis-, kustutamis-, piiramis- ja vastuväide taotlustele. Praktikas ongi siin suureks abiks korras andmetöötlusregister.

Märgime, et kui ettevõttel on vaja õiguslikku abi ja seisukohta lähtuvalt konkreetsetest asjaoludest, ärimudelist, tehnilisest lahendusest või töödeldavatest andmetest, siis soovitame (ning seda võimalust tasub kasutada) pöörduda õigusnõustajate (advokaadid, juristid) poole, kes saavad hinnata konkreetseid asjaolusid ning abistada nõuetele vastava dokumentatsiooni koostamisel, sealhulgas andmekaitsetingimuste, andmetöötluslepingute, töötlemistoimingute registri ja muude vajalike dokumentide ettevalmistamisel.

Lisainformatsiooni saamiseks on andmetöötlejatel võimalus igal ajal tutvuda AKI veebilehel avaldatud materjalidega, mis annavad tuge korrektseks isikuandmete töötlemiseks:

• * Andmetöötluse põhimõtted: Andmetöötluse põhimõtted | Andmekaitse Inspektsioon.
• * isikuandmete töötlemise üldjuhend, kus on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma.
• * Andmetöötleja vastutusest ning kohustustest isikuandmete töötlemisel leiab informatsiooni siit.
• * Andmekaitsetingimuste koostamisest: Andmekaitsetingimuste koostamine | Andmekaitse Inspektsioon;
• * Abimaterjalide alt on leitavad: vastavus isikuandmete kaitse üldmäärusega, andmekaitsetingimused ja nõusolek.
• * Kui ettevõttes on toimunud isikuandmetega seotud rikkumine: Rikkumisteated | Andmekaitse Inspektsioon ja Rikkumisteade | Andmekaitse Inspektsioon.
• * Erinevad korduma kippuvad küsimused (KKK);
• * Andmekaitse Inspektsioonil on ka kasutuses Bürokratt, mis asub veebilehel all paremas nurgas ning mis abistab 24/7 erinevate küsimuste korral.
• * Samuti on AKI-l oma andmehääling, kus on samuti paljud päevakajalised teemad leidnud arutlust (sh, mis on mõjuhinnang, miks on vaja andmekaitsetingimusi jne): Andmehääling – Andmekaitse Inspektsiooni podcast | Andmekaitse Inspektsioon.

Loodame, et meie selgitustest on abi ning kui tekib lisaküsimusi, siis võtke ühendust.

Lugupidamisega

Andmekaitse Inspektsioon

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube