ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Mart Raadik

Eliis Tarkvara OÜ

[email protected]

Teie 05.10.2026 Meie 22.10.2026 nr 2.2-9/26/3991-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon sai Eliis Tarkvara OÜ pöördumise, milles soovite teada kas ja kuidas

on lubatud olukord, kus üks lapsevanem näeb keskkonnas oma lapse rühmas käivate laste

eesnimesid, lapsevanemate ees- ja perekonnanimesid ning seost lapse ja lapsevanema vahel.

Funktsionaalsuse eesmärk on võimaldada sama rühma lapsevanematel omavahel suhelda ja teha

koostööd lasteaia ning rühmaga seotud küsimustes.

Etteruttavalt selgitan, et Andmekaitse Inspektsioon ei anna õigusabi ega tee väljaspool

järelevalvemenetlust siduvaid õiguslikke otsuseid. Siiski saame anda üldisi selgitusi kehtiva

õiguse ning praktika kohta. Lõplik otsustus ja vastutus isikuandmete töötlemise osas jääb

andmetöötlejale.

Vastan nüüd küsimustele nende esitamise järjekorras:

1. „Kas GDPR-ist või Eesti õigusaktidest tuleneb absoluutne keeld, mille kohaselt ei tohi

autentitud lapsevanemale kuvada tema enda lapse rühma teiste laste eesnimesid või nende

laste vanemate nimesid?„

Isikuandmete kaitse üldmäärus (ehk IKÜM) ega Eesti õigusaktid ei kehtesta üldjuhul keeldu

mõne konkreetse andmetöötlustoimingu osas. See aga ei tähenda, et konkreetne andmetöötlus

oleks automaatselt lubatud. Iga isikuandmete töötlemise puhul peab andmetöötleja hindama,

kas töötlemiseks on olemas õiguslik alus, millisel eesmärgil andmeid töödeldakse ning kas

andmete töötlemine on selle eesmärgi saavutamiseks vajalik ja proportsionaalne. Samuti tuleb

järgida isikuandmete töötlemise üldpõhimõtteid, muu hulgas võimalikult väheste andmete

töötlemise põhimõtet. Need nõuded tulenevad eelkõige IKÜM-i artiklitest 5 ja 6.

Teisisõnu, küsimus ei ole niivõrd selles, kas teiste laste või nende vanemate nimede kuvamine

on iseenesest keelatud, vaid selles, kas selliseks andmetöötluseks on konkreetses olukorras

olemas õiguslik alus ning kas see on eesmärki arvestades vajalik ja proportsionaalne.

2. „Kas kirjeldatud rühmapõhine nähtavus võib olla õiguspärane juhul, kui lasteaed kui

vastutav töötleja on määratlenud töötlemise eesmärgi, õigusliku aluse ja vajaliku andmete

ulatuse ning teavitanud sellest lapsevanemaid?“

Kirjeldatud rühmapõhine nähtavus võib põhimõtteliselt olla õiguspärane, kui lasteaed

vastutava töötlejana on määratlenud selge ja õiguspärase eesmärgi, leidnud töötlemiseks

2 (4)

sobiva õigusliku aluse ning hinnanud, et teiste laste ja/või nende vanemate nimede kuvamine

on selle eesmärgi saavutamiseks vajalik ega lähe vajalikust ulatusest kaugemale. Samuti peab

andmetöötlus olema lapsevanematele läbipaistev ja neid tuleb sellest nõuetekohaselt teavitada.

Lõplik vastus oleneb siiski konkreetsest andmetöötluse eesmärgist, õiguslikust alusest millele

tuginetakse ja andmete ulatusest ning isikute ringist, kellele andmed nähtavaks tehakse.

3. „Kas munitsipaallasteaia puhul võib kirjeldatud töötlemise õiguslik alus tuleneda GDPR

artikli 6 lõike 1 punktist e koostoimes alusharidusseadusest tulenevate ülesannete ning

vanemate koostöö ja hoolekogu töös osalemisega?“

Isikuandmete kaitse üldmääruse artikkel 6 lõikele 1 punktile e tuginemine eeldab, et töötlemine

on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks, ning

sama artikli lõike 3 järgi peab selle ülesande alus tulenema liidu või liikmesriigi õigusest.

Artiklis 6 lõikes 1 punktis e sätestatud õiguslikku alust ei saa aga sisustada sedavõrd üldiselt,

et igast lasteaiale seadusega pandud ülesandest või vanematega koostöö tegemise kohustusest

saaks tuletada õiguse mistahes sellega seotud isikuandmete töötlemiseks. Vajalik on piisavalt

konkreetne seos seadusest tuleneva avaliku ülesande ja kavandatava andmetöötluse vahel ning

töötlemine peab olema selle ülesande täitmiseks vajalik.

Teisisõnu peab konkreetse andmetöötluse ja seadusest tuleneva ülesande vahel peab olema

piisavalt selge seos ning töötlemine peab olema selle ülesande täitmiseks vajalik.

4. „Kas GDPR-i võimalikult väheste andmete töötlemise põhimõttega võib olla kooskõlas

lahendus, kus teise lapse puhul kuvatakse üksnes eesnimi ning lapsevanema puhul nimi,

kuid ei kuvata telefoninumbrit, e-posti aadressi ega muid täiendavaid kontakt- või

isikuandmeid?“

Iseenesest võib selline lahendus olla võimalikult väheste andmete töötlemise põhimõttega

kooskõlas, kui just selline andmete ulatus on määratletud eesmärgi saavutamiseks vajalik.

Samas on võimalikult väheste andmete töötlemine vaid üks üldmäärusest tulenevatest

isikuandmete töötlemise põhimõtetest ning andmetöötlus peab vastama kõigile

kohaldatavatele nõuetele tervikuna.

5. „Kas lapse eesnime kuvamine lapsevanema nime juures võib olla põhjendatud eesmärgiga

võimaldada kasutajal tuvastada, millise rühmakaaslase vanemaga on tegemist, ning

seeläbi valida sõnumi saatmisel õige adressaat?„

AKI ei saa anda lõplikku hinnangut, kas kirjeldatud eesmärk õigustab konkreetsel juhul lapse

eesnime kuvamist lapsevanema nime juures. Sellise hinnangu peab andma vastutav töötleja,

võttes arvesse konkreetset töötlemise eesmärki, valitud õiguslikku alust ning seda, kas lapse

eesnime kuvamine on selle eesmärgi saavutamiseks vajalik ja proportsionaalne.

6. „Kas lapse eesnime ja täiskasvanud lapsevanema nime kuvamist tuleks õiguslikult hinnata

erinevalt?“

Nii lapse eesnimi kui ka lapsevanema nimi on isikuandmed ning nende töötlemisele

kohalduvad samad üldmäärusest tulenevad nõuded. See ei tähenda siiski, et nende andmete

töötlemist tuleks igas olukorras hinnata täiesti ühtemoodi. Laste isikuandmed väärivad

üldmääruse kohaselt erilist kaitset, mistõttu tuleb lapse andmete töötlemisel tema õiguste ja

huvidega eriti hoolikalt arvestada.

3 (4)

7. „Kas kirjeldatud töötlemine eeldaks lapsevanema nõusolekut või võib selleks olla muu

GDPR artiklis 6 sätestatud õiguslik alus?„

Sõltuvalt töötlemise eesmärgist ja konkreetsetest asjaoludest võib esmapilgul kõne alla tulla

mitu artiklis 6 sätestatud õiguslikku alust. Vastutav töötleja peab siiski konkreetse töötlemise

puhul kindlaks määrama, millisele konkreetsele õiguslikule alusele ta tugineb ning arvestama

selle aluse kohaldamise eelduste ja piirangutega.

Näiteks ei saa avaliku sektori asutus tugineda õigustatud huvi õiguslikule alusele kui ta töötleb

isikuandmeid oma avalike (seadustega pandud) ülesannete täitmisel. Samuti peab artikli 6

lõike 1 punktile e tuginemisel olema töötlemisel piisav alus liidu või liikmesriigi õiguses ning

töötlemine peab olema vajalik asjaomase avalikes huvides oleva ülesande täitmiseks.

Nõusolekule tuginemine on üks võimalustest. Ühelt poolt annab see lapsevanemale võimaluse

valida, kas andmetöötlusega nõustuda või mitte, sest võib olla lapsevanemaid kes ei soovi võtta

aktiivselt osa erinevates ühistegevustest. Samas peab nõusoleku puhul arvestama, et see peab

olema vabatahtlik, konkreetne, teadlik ja ühemõtteline ning inimesel peab olema võimalik

antud nõusolek igal ajal sama lihtsalt tagasi võtta, kui ta selle andis. Seega peab nõusolekule

tuginev lahendus arvestama ka võimalusega, et osa lapsevanemaid nõusolekut ei anna või

võtab selle hiljem tagasi.

8. „Kuidas tuleks sama põhimõtte alusel hinnata olukorda, kus lapse nimi on lasteaias nähtav

garderoobikapil või riiulil teistele rühma vanematele?„

Neid olukordi ei saa tingimata üks ühele võrdsustada. Tõepoolest, ka garderoobikapil või riiulil

olev lapse nimi võib kujutada endast isikuandmete töötlemist, kuid hinnata tuleb konkreetseid

asjaolusid, sealhulgas seda, milline teave on tegelikult nähtav ning millises kontekstis ja kellele

see avaldatakse.

Näiteks olukord, kus rühmaruumiga seotud garderoobikapil on nähtav üksnes lapse eesnimi

„Mati“, ei pruugi olla samaväärne olukorraga, kus digikeskkonnas kuvatakse lapse eesnimi

koos konkreetse lapsevanema ees- ja perekonnanimega ning luuakse selge seos lapse ja

lapsevanema vahel. Viimasel juhul töödeldakse ja tehakse teistele kasutajatele kättesaadavaks

rohkem teavet ning andmete omavahelise seostamise kaudu tekib isiku kohta täiendav teave.

Asjaolu, et lapse eesnimi võib olla füüsilises lasteaiakeskkonnas teatud isikutele nähtav, ei

tähenda iseenesest, et sama või täiendavate andmete kuvamine digikeskkonnas oleks

automaatselt õiguspärane.

9. „Kuidas tuleks hinnata paberil registreerimislehte, kus arenguvestluse aega valivad

lapsevanemad näevad ka varem registreerunud vanemate nimesid?„

Teadmata kogu konteksti (sh kuidas täpselt avaldamine toimub), siis saan selgitada ainult

üldiselt, et sellise avaldamise õiguspärasust tuleb hinnata samade üldiste põhimõtete järgi nagu

muu isikuandmete töötlemise puhul.

10. „Kas klassi või rühma lapsevanemate meililist, kus teistele adressaatidele on nähtav

inimese nimi ja e-posti aadress, eeldab teistsugust õiguslikku alust kui autentitud

õppekorralduskeskkond, kus kuvatakse üksnes nimi?“

Ainuüksi asjaolu, et ühel juhul toimub andmete töötlemine meililisti kaudu ja teisel juhul

autenditud õppekorralduskeskkonnas, ei tähenda tingimata, et töötlemine peab tuginema

erinevale õiguslikule alusele. Õigusliku aluse valikul tuleb lähtuda eelkõige konkreetse

töötlemise eesmärgist ja asjaoludest.

4 (4)

Samas tuleb neid töötlemistoiminguid hinnata eraldi. Meililisti puhul tehakse teistele

adressaatidele nähtavaks lisaks inimese nimele ka tema e-posti aadress, samas kui kirjeldatud

õppekorralduskeskkonnas kuvatakse üksnes nimi. Seetõttu võivad erineda töödeldavate

andmete ulatus, nende avaldamise viis ja töötlemisega kaasnev mõju.

Teisisõnu, ühe lahenduse õiguspärasusest ei saa automaatselt järeldada teise lahenduse

õiguspärasust ega ka seda, et nende puhul peaks tingimata kasutama erinevat õiguslikku alust.

11. „Kas digitaalse õppekorralduskeskkonna puhul on põhjendatud kohaldada rangemat

standardit kui samasisulisele nimede nähtavusele lasteaia füüsilises keskkonnas või e-posti

suhtluses? Kui jah, siis millest selline erinevus tuleneb?“

IKÜM ei näe ette rangemat standardit digitaalsele andmetöötlusele üksnes põhjusel, et

töötlemine toimub digitaalses keskkonnas. Isikuandmete kaitse nõuded on

tehnoloogianeutraalsed. Erinev hinnang võib siiski tuleneda konkreetse töötlemise asjaoludest,

näiteks töödeldavate andmete ulatusest, nende omavahelisest seostamisest, nähtavuse

kestusest ja sellest, kellele andmed kättesaadavaks tehakse.

12. „Kui AKI leiab, et kirjeldatud kujul nimede kuvamine ei ole lubatav, palume võimalusel

viidata konkreetsele õigusnormile ning selgitada, milline lahendus võimaldaks sama

rühma lapsevanemate omavahelist digitaalset suhtlust andmekaitsenõuetega kooskõlas

korraldada.“

Nagu eespool selgitatud, ei anna AKI kinnitust kas kirjeldatud kujul nimede kuvamine oleks

lubatud või keelatud. Samuti ei tulene üldmäärusest konkreetset keeldu, mille kohaselt ei

tohiks sama rühma laste või lapsevanemate nimesid autenditud keskkonnas kuvada.

Töötlemise õiguspärasus sõltub konkreetsetest asjaoludest. Vastutav töötleja peab eelkõige

suutma määratleda töötlemise eesmärgi ja IKÜM artikli 6 kohase õigusliku aluse ning

põhjendama, miks just nende isikuandmete kuvamine just sellisele isikute ringile on eesmärgi

saavutamiseks vajalik. Samuti tuleb järgida IKÜM artiklis 5 sätestatud põhimõtteid, sealhulgas

eesmärgi piirangu ja võimalikult väheste andmete töötlemise põhimõtet.

Seega ei ole lapsevanemate omavahelise digitaalse suhtluse võimaldamine iseenesest keelatud.

Küll aga peab valima sellise lahenduse mille puhul töödeldavate isikuandmete ulatus ja nende

nähtavaks tegemine on määratletud eesmärgi saavutamiseks vajalik ning töötlemiseks on

olemas sobiv õiguslik alus.

Loodan, et vastusest on Teile abi. Lisaküsimuste korral võib julgelt ühendust võtta.

Lugupidamisega

(allkirjastatud digitaalselt)

Geili Keppi

jurist (tiimijuht)

peadirektori volitusel