Tähelepanu juhtimine isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Kaitseliidu Järva malev

[email protected]

05.07.2024 nr 2.1-1/24/698-1676-3

Tähelepanu juhtimine isikuandmete kaitse asjas

Andmekaitse Inspektsioon sai pöördumise, mille kohaselt saatis Järva maleva rühmavanem

20.06.2024 ligi 45 inimesele e-kirja, milles otsis ülejärgmiseks päevaks transporti. Kõikide

e-kirja saajate e-posti aadressid olid üksteisele nähtavad. Lisaks seati kahtluse alla, kust isikute

e-posti aadressid üldse saadud on.

Märgukirjast ajendatuna juhib Andmekaitse Inspektsioon Järva maleva tähelepanu järgnevale.

Eraisiku e-posti aadress kuulub isikuandmete hulka. Euroopa Parlamendi ja nõukogu määruse

(EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM)1 artikkel 4 punkti 1 järgi on

isikuandmed igasugune teave, mille kaudu on võimalik otseselt või kaudselt isikut tuvastada.

Seega, kuivõrd e-posti aadressid on tavapäraselt loodud isikute nimede alusel, võivad

konkreetsed inimesed olla tuvastavad.

Isikuandmete töötlemine on üldmääruse artikkel 4 punkti 2 kohaselt igasugune toiming või

toimingute kogum, mida isikuandmetega tehakse. Nii kuulub isikuandmete töötlemise hulka mh

e-posti aadressi kasutamine, säilitamine, edastamine, levitamine jne.

Isikuandmete töötlemisele kohalduvad IKÜM-st, aga ka isikuandmete kaitse seadusest ja

sõltuvalt valdkonnast muudest eriseadustest tulenevad nõuded. Nii on oluline, et isikuandmete

seaduslikuks töötlemisel oleks täidetud üks IKÜM art 6 lg-s 1 nimetatud tingimustest

(töötlemiseks peaks olema kas inimene nõusolek, töötlemise õigus tuleb seadusest või õigustatud

huvi olemasolust jne). Lisaks sellele peavad aga olema täidetud isikuandmete töötlemise

põhimõtted: isikuandmete töötlemine peab olema mh läbipaistev, töötlemine peab olema

kooskõlas selleks ettenähtud eesmärgiga, piirduma minimaalselt vajalikuga jne).

E-posti aadressi üldreeglina ilma inimese nõusolekuta avaldada ega jagada ei tohi. Nii ei ole

isikuandmete kaitse nõuetega kooskõlas olukord, kus ilma eelnevalt küsitud nõusolekuta

saadetakse e-kiri viisil, kus selle adressaadid koos e-posti aadressidega on kõikidele kirja

saajatele näha. Kusjuures problemaatiline ja küsitav on seegi, et kui e-kirja saatja on saanud

kuskilt kolmandast kohast kunagi varem kellegi e-posti aadressid, siis kas ja mis tingimustel

võiks ta neid nüüd uuesti teistel eesmärkidel kasutada. Kui asutusele/organisatsioonile on antud

nõusolek kasutada e-posti aadressi mingitel kindlatel eesmärkidel, siis ei tohiks keegi teine

kasutada seda enda seatud muul eesmärgil.

Ühtlasi aga tuleb arvestada sedagi, et iga e-kiri, mis välja saadetakse, võib jõuda isikuteni,

kellele see konkreetne kiri ei ole adresseeritud – seda ennekõike siis, kui eksitakse e-posti

1 https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A02016R0679-20160504

2 (2)

aadresside kirjutamisel. Selle tulemusena võivad kõrvalised isikud teada saada informatsiooni,

mis ei ole neile mõeldud – olgu selleks nii kirja adressaadid koos e-posti aadressidega kui ka

kirja enda sisu. Kõige mustema stsenaariumi tulemusena võidakse selle kirja sisu (koos e-posti

aadressidega) edastada veel suuremale isikute ringile või laiemale avalikkusele. Sellepärast

tulebki eraisikute e-posti aadresside kasutamisel kindlasti arvestada isikuandmete töötlemise

reeglitega, sh tuleb eelistada neid meetmeid, mis kohe alguses tagavad suurema privaatsuse.

E-kirjade saatmisel võiks seega taolistel puhkudel eelistada varianti, kus e-posti aadressid on

pimekoopias.

Eelnevast tulenevalt palub inspektsioon Järva maleval ja selle rühmavanematel jälgida e-kirjade

saatmisel isikuandmete kaitse nõudeid ja enne suuremale ringile e-kirja saatmist veenduda,

millised kokkulepped selles osas eelnevalt sõlmitud on.

Lugupidamisega

Agnes Järvela

jurist

peadirektori volitusel