ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Julia Forstiman

Narva Linna Sotsiaalabiamet

[email protected]

Teie 09.10.2026 Meie 23.10.2026 nr 2.3-8/26/4084-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse, milles küsite eriliiki isikuandmeid

sisaldavate dokumentide edastamise kohta töövõtjale tõlketöö tegemiseks.

Märgime, et AKI saab selgitustaotlusele vastates selgitada isikuandmete kaitse üldmäärusest

(Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, edaspidi IKÜM) tulenevaid nõudeid,

kuid ei saa anda konkreetsele juhtumile siduvat õiguslikku hinnangut. Sellise hinnangu andmine

eeldab asjaolude väljaselgitamist ja tõendite hindamist järelevalvemenetluses, mida praegu aga

läbi viidud ei ole. Lõplik otsustus ja vastutus isikuandmete töötlemise osas jääb andmetöötlejale.

Asutus, organisatsioon või muu isik, kes otsustab, miks ja kuidas isikuandmeid töödeldakse, on

isikuandmete vastutav töötleja (IKÜM artikli 4 punkt 7). Vastutav töötleja peab tagama

isikuandmete nõuetekohase töötlemise ja kaitse. Selleks peab isikuandmete töötlemisel olema

õiguslik alus ning töötlemine peab olema eesmärgipärane, inimeste jaoks läbipaistev ja kooskõlas

võimalikult väheste andmete kogumise, turvalisuse ning teiste IKÜM artiklis 5 sätestatud

põhimõtetega. Täpsemad selgitused isikuandmete töötlemise põhimõtete kohta leiab AKI

kodulehelt https://www.aki.ee/isikuandmed/andmetootlejale/andmetootluse-pohimotted.

Õiguslike alustega seotud selgitused leiab siit

https://www.aki.ee/isikuandmed/andmetootlejale/tootlemise-oiguslikud-alused.

Kui tõlketeenuse osutaja töötleb isikuandmeid üksnes vastutava töötleja nimel ja tema juhiste järgi

ega määra ise kindlaks isikuandmete töötlemise eesmärke, võib tõlketeenuse osutaja olla volitatud

töötleja.

Kui isikuandmeid töötleb vastutava töötleja nimel volitatud töötleja, peab nendevaheline suhe

olema IKÜM artikli 28 lõike 3 kohaselt reguleeritud siduva lepingu või muu siduva õigusaktiga.

Selles tuleb kindlaks määrata isikuandmete töötlemise sisu ja kestus, töötlemise laad ja eesmärk,

isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused.

Lisaks peab olema kokku lepitud, et volitatud töötleja töötleb isikuandmeid üksnes vastutava

töötleja dokumenteeritud juhiste alusel, tagab andmeid töötlevate isikute

konfidentsiaalsuskohustuse ning rakendab IKÜM artikli 32 kohaseid turvameetmeid. Samuti tuleb

reguleerida teise volitatud töötleja kaasamise tingimused, volitatud töötleja kohustus aidata

vastutaval töötlejal täita IKÜM-ist tulenevaid kohustusi ning pärast teenuse lõppu isikuandmete

tagastamine või kustutamine. Volitatud töötleja peab ühtlasi tegema vastutavale töötlejale

kättesaadavaks teabe, mis võimaldab tal kontrollida ja tõendada nende nõuete täitmist, ning

võimaldama vajaduse korral auditeid ja kontrolle.

2 (2)

Juhised selle kohta, kas ja kuidas isikuandmeid töövõtjale (volitatud töötlejale) edastada ning

kuidas volitatud töötleja võib neid töödelda, peab andma vastutav töötleja. IKÜM artikli 28 lõike

3 kohaselt võib volitatud töötleja isikuandmeid töödelda üksnes vastutava töötleja

dokumenteeritud juhiste alusel. Vastutava ja volitatud töötleja vaheline andmetöötlussuhe peab

IKÜM artikli 28 lõike 9 kohaselt olema samuti kirjalik.

Mis puudutab isikuandmete töötlemise turvalisust ja konfidentsiaalsust, siis nende tagamise

kohustus lasub nii vastutaval kui ka volitatud töötlejal.

IKÜM artikli 5 lõike 1 punkti f kohaselt tuleb isikuandmeid töödelda viisil, mis tagab nende

asjakohase turvalisuse, sealhulgas kaitse loata või ebaseadusliku töötlemise ning juhusliku

kadumise, hävitamise või kahjustumise eest. Sama artikli lõikes 2 sätestatud vastutuse põhimõtte

kohaselt peab vastutav töötleja lisaks nõuete täitmisele suutma nende täitmist ka tõendada.

Turvameetmete valikul tuleb lähtuda IKÜM artiklist 32. Selle kohaselt peavad vastutav ja volitatud

töötleja rakendama riskile vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja

korralduslikke meetmeid. Sobivate meetmete määramisel tuleb arvesse võtta tehnoloogia taset,

isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigustele ja

vabadustele kaasneva ohu tõenäosust ja suurust.

IKÜM ei nimeta, milliseid konkreetseid lahendusi isikuandmete turvalisuse ja konfidentsiaalsuse

tagamiseks tuleb andmetöötlejal rakendada. Samuti ei keela ega välista IKÜM mingite

konkreetsete tehniliste lahenduste vms kasutamise. Oluline on pigem see, kas valitud lahendus ja

rakendatud meetmed tervikuna vastavad konkreetse töötlemise riskidele ja tagavad isikuandmete

turvalisuse ja konfidentsiaalsuse.

Kokkuvõttes vastutab vastutav töötleja selle eest, et volitatud töötleja kaasamisel oleksid täidetud

isikuandmete töötlemise põhimõtted, sh isikuandmete turvalisus ja konfidentsiaalsus.

Leiate täiendavad selgitused AKI kodulehelt:

 https://www.aki.ee/isikuandmed/andmetootlejale/andmetootleja-vastutus-ja-kohustused

 https://www.aki.ee/isikuandmed/andmetootlejale/andmeturve

Loodame, et meie selgitustest on abi.

Lugupidamisega

Agnes Järvela

jurist (tiimijuht)

peadirektori volitusel