Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Meelika Liiv-Tamsar

Riigi Tugiteenuste Keskus

[email protected]

Teie 25.04.2023 Meie 27.07.2023 nr 2.1.-5/23/778-4

Vastus nõudekirjale

Andmekaitse Inspektsioon sai Teie pöördumise, milles soovisite teada, kas inimesel on õigus

riigihankemenetluses anda nõusolek oma lapse terviseandmete töötlemiseks. Pöördumise järgi

soovitakse riigihangetes soodustada sotsiaalsete kriteeriumite rakendamist eesmärgiga aidata

tööturule vähenenud töövõimega ja hoolduskoormusega inimesi. See tähendab, et teatud eelis

antakse just sellistele töötajatele, kuid neile tekib riigihankemenetluse käigus kohustus ka

vastavad tõendid esitada.

Vastuseks pöördumisele märkis inspektsioon, et avaliku sektori asutus üldjuhul ei töötle isikute

andmeid nõuoleku alusel, viidates EL isikuandmete kaitse üldmääruse (IKÜM)1

põhjenduspunktidele 42 ja 43, mis selgitavad, et nõusolekut ei tohiks lugeda vabatahtlikult

antuks, kui inimene ja tema isikuandmete vastutav töötleja on selgelt ebavõrdses olukorras, eriti

juhul, kui vastutav töötleja on avaliku sektori asutus. Seega, kui tegemist ei ole vabatahtlikult

antud nõusolekuga oma isikuandmete töötlemiseks, peab andmetöötlus tuginema üksnes selgele

õiguslikule alusele, mis tuleneb mingist õigusaktist.

Pärast inspektsioonilt vastuse saamist esitasite täiendava pöördumise, milles selgitate lähemalt

andmete töötlemise eesmärki. Pöördumisest nähtuvalt on riigihangete korraldamisel hankijal

võimalik sätestada tingimusi, mis aitavad kaasa sotsiaalse võrdsuse suurendamisele (nn

sotsiaalsed kriteeriumid). Hankija saab kehtestada, et riigihankes osalev ettevõtja peab täitma

mingeid sotsiaalse iseloomuga tingimusi, või anda ettevõtjale selliste tingimuste täitmisel eelise

(nt võimaluse saada pakkumuste võrdlemisel rohkem hindepunkte). Sotsiaalsete kriteeriumitena

võimaldab riigihangete direktiiv mh arvestada ebasoodsas olukorras olevate isikute või

haavatavate rühmade liikmete sotsiaalset integreerimist lepingut täitma määratud töötajate

hulka.2

Märgite täiendavas pöördumises, et Eestis on riigihangete korraldamisel ühe võimalusena

kasutatud lisaks isiku kinnitusele hankelepingu täitmisel osalemise kohta ka nõusoleku andmist

oma terviseandmete avaldamiseks ning lepingu tingimustele vastavuse kontrollimiseks päringute

tegemiseks riiklikesse registritesse. Selliste andmete küsimisel on lähtutud eeldusest, et isikul on

õigus otsustada enda kohta käivate andmete avaldamise üle. Samas märgite oma esimeses

pöördumises muu hulgas, et annate teatud eelise just [vähenenud töövõimega ja

hoolduskoormusega] töötajatele, kuid neil tekib riigihankemenetluse käigus kohustus ka

1 EL isikuandmete kaitse üldmäärus (https://eur-lex.europa.eu/legal-

content/ET/TXT/HTML/?uri=CELEX:32016R0679&qid=1654594451057&from=ET) 2 2014/24/EL preambul p 93 (https://eur-lex.europa.eu/legal-

content/ET/TXT/HTML/?uri=CELEX:32014L0024&qid=1690175760866)

2 (3)

vastavad tõendid esitada. Siinjuures peame vajalikuks rõhutada, et kui isikuandmete töötlemise

alus (kohustus) tuleneb õigusaktist, siis ei ole asjakohane andmete töötlemisel tugineda ka

nõusolekule, kuna see on eksitav – inimene tegelikult oma andmete töötlemise üle otsustada ei

saa.

Esmalt selgitame, et igasugune isikuandmete töötlemine peab alati olema seaduslik, õiglane ja

andmesubjektile läbipaistev.3 Seaduslik on isikuandmete töötlemine ainult juhul, kui on täidetud

vähemalt üks IKÜM artikli 6 lõikes 1 toodud tingimustest. Terviseandmete kui eriliigiliste

isikuandmete puhul peab lisaks esinema üks IKÜM artikkel 9 lõikes 2 toodud asjaoludest.

Sealjuures peaksid tervisealaste isikuandmete hulka kuuluma kõik andmesubjekti tervislikku

seisundit käsitlevad andmed, mis annavad teavet andmesubjekti endise, praeguse või tulevase

füüsilise või vaimse tervise kohta.4 Kuna pöördumisest nähtub, et konkurentsieelist soovitakse

anda ettevõtjatele, kelle töötajate hulgas on vähenenud töövõimega ja hoolduskoormusega

inimesi (nt puudega last kasvatav vanem), siis eeldab mõlemal juhul hanketingimustele

vastavuse tõendamine terviseandmete töötlemist.

Oma nõudekirjas selgitate, et IKÜM artikkel 6 lõike 1 punkt a ja artikkel 9 lõike 2 punkti a

kohaselt tohib isikuandmeid, sh terviseandmeid töödelda, kui andmesubjekt on andnud selleks

nõusoleku, viidates samal ajal inspektsiooni varasemalt antud selgitustes märgitule, et nõusolekut

ei tohiks lugeda vabatahtlikult antuks, kui isikul puudub tõeline või vaba valikuvõimalus või ta ei

saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta.

Euroopa Andmekaitsenõukogu on 04.05.2020 antud suuniste5 punktis 3 märkinud, et üldiselt

saab nõusolek olla asjakohane õiguslik alus vaid juhul, kui andmesubjektile antakse kontroll

ning tõeline võimalus valida pakutavate tingimustega nõustumise ja nende tagasilükkamise

vahel, ilma et sellega kaasneks kahjulikke tagajärgi. Nõusoleku küsimisel on vastutava töötleja

ülesanne hinnata, kas see vastab kõigile kehtiva nõusoleku hankimise nõuetele. Kui nõusolek on

saadud täielikult kooskõlas isikuandmete kaitse üldmäärusega, on see vahend, mis annab

andmesubjektile kontrolli selle üle, kas tema isikuandmeid töödeldakse või mitte. Kui nõusoleku

hankimisel ei ole isikuandmete kaitse üldmäärust täielikult järgitud, on andmesubjekti kontroll

vaid näilik ja nõusolek ei ole töötlemiseks kehtiv alus, mistõttu töötlemine on ebaseaduslik.

Lisaks on suuniste punktis 13 märgitud, et üldjuhul on isikuandmete kaitse üldmäärusega ette

nähtud, et kui andmesubjektil ei ole tõelist valikuvõimalust, kui ta tunneb sundi nõustuda või kui

tal tuleb nõusoleku andmata jätmise korral taluda negatiivseid tagajärgi, on nõusolek kehtetu.

Kui nõusolek on osa mitteläbiräägitavatest tingimustest, ei peeta seda vabatahtlikult antuks.

Samuti ei tohi nõusoleku puhul jätta arvestamata ebavõrdset jõuvahekorda. Suuniste punktis 16

on selgitatud, et avaliku sektori asutused tõenäoliselt ei saa tugineda töötlemisel andmesubjekti

nõusolekule, sest kui vastutav töötleja on avaliku sektori asutus, on vastutava töötleja ja

andmesubjekti jõuvahekord selgelt ebavõrdne. Enamikul juhtudel on selge ka see, et

andmesubjektil puuduvad realistlikud alternatiivid sellise vastutava töötleja teostatava

töötlemisega (või selle tingimustega) nõustumisele. Samuti ilmneb ebavõrdne jõuvahekord

töösuhete kontekstis. Suuniste punktis 21 leitakse, et tööandja ja töövõtja vahelist sõltuvussuhet

arvesse võttes on ebatõenäoline, et andmesubjekt saab keelduda oma tööandjale andmete

töötlemiseks loa andmisest, tundmata hirmu või tajumata tõelist ohtu, et keeldumisega

kaasnevad kahjulikud tagajärjed.

Seega ei saa rääkida vabatahtlikult antud nõusolekust, kui inimene tunneb sundi nõustuda

(sealjuures võib sunniks olla mistahes viisil toimuv igasugune survestamine või mõjutamine) või

3 IKÜM artikkel 5 lõige 1 punkt a 4 IKÜM põhjenduspunkt 35 5 Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta

(https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_et.pdf)

3 (3)

kui mittenõustumisel tuleb taluda negatiivseid tagajärgi või kui inimesel puudub võimalus

tingimuste osas kaasa rääkida. Järelikult on ka küsitav, kuivõrd on töötajal hankemenetluses oma

terviseandmete töötlemiseks nõusolekut andes valikuvõimalust. Eriti kui pöördumisest nähtuvalt

on huvitatud pooleks pigem tööandja, kes soovib näiteks läbi täiendavate väärtuspunktide saada

konkurentsieelist.

Nagu inspektsioon oma varasemas kirjas selgitas, siis olukorras, kus isikuandmete töötlemise

õiguslikuks aluseks ei saa olla nõusolek, peab andmetöötlus tuginema üksnes õigusaktist

tulenevale selgele alusele. Sellisel juhul saab isikuandmete töötlemine toimuda IKÜM artikkel 6

lõike 1 punktide c (juriidilise kohustuse täitmine) või e (avaliku ülesande täitmine) alusel6.

Riigihanke korraldamise reeglid ning riigihankega seotud isikute õigused ja kohustused on

sätestatud riigihangete seaduses7. Seega, kui seadus sätestab hankija õiguse kehtestada

riigihankes osalevale ettevõtjale sotsiaalse iseloomuga tingimusi, siis peab seaduses olema

selgelt sätestatud ka see, millised on hankija õigused hankemenetluses ehk kes ja milliseid

isikuandmeid (sh eriliigilisi isikuandmeid) on hankijale kohustatud esitama ning millisel viisil ja

ulatuses on hankijal õigus sotsiaalsetele tingimustele vastavuse kontrollimiseks neid

isikuandmeid töödelda. Nõue, et isikuandmete töötlemine on ette nähtud seaduse tasemel, tuleb

meie enda põhiseaduse §-st 26.

Ühtlasi märgime, et kui riigihangete seaduses puudub säte, mis võimaldaks hankijal nõuda talle

nõuetele vastavuse hindamiseks vajalike dokumentide esitamist või teha vajalike isikuandmete

saamiseks päringuid andmekogudesse, siis on alati võimalik teha valdkonda juhtivale

ministeeriumile ettepanek seaduse täiendamiseks vastavate sätetega.

Loodame, et selgitustest on abi.

Lugupidamisega

Terje Enula

jurist

peadirektori volitusel

6 IKÜM artikkel 6 lõike 3 punkti b järgi tuleb artikkel 6 lõike 1 punktides c ja e osutatud isikuandmete töötlemise

alus kehtestada vastutava töötleja suhtes kohaldatava liikmesriigi õigusega. 7 Riigihangete seadus (https://www.riigiteataja.ee/akt/123022023007)