Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Helen Trelin

AS Eesti Varude Keskus

[email protected]

Teie 12.02.2024 nr Meie 13.03.2024 nr 2.1.-5/24/396-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon sai Teie pöördumise, milles kirjutate:

AS Eesti Varude Keskuse andmekaitse eest vastutava isikuna pöördun AKI poole küsimuses, mis

puudutab e-kirju, millega saadetakse isikuandmeid nõupidamistele registreerimisel ja töötajate

värbamisel.

Oleksin tänulik info eest, milline peaks olema asutuse andmekaitsepoliitika e-kirjade osas, milles

sisalduvaid isikuandmed kogutakse, töödeldakse ja säilitatakse vastavates andmete kogumites

GDPRi kohaselt.

Kas sellised e-kirjad, arvestades, et need sisaldavad isikuandmete töötlemise alusdokumendina

e-kirja saatmise kuupäeva, vastuvõtjat, andmete edastajat, andmete kogumise eesmärki

(konkreetse koosoleku vm nimetus näiteks) jm isikuandmete alast infot, kuuluvad täiendavalt

eraldi andmete kogumina töötlemisele ja säilitamisele või kustutamisele?

Antud pöördumise pinnalt saame jagada vaid üldiseid selgitusi selles osas, mis puudutab

ettevõttesiseste kirjade edastamist töötajate vahel.

Selgitame, et tööandja võib/saab ise kehtestada töötaja, ja seeläbi ka enda, õiguste kaitseks e-

postkasti (ja laiemalt arvuti) kasutamise reeglid (nii detailsed kui ettevõtte eripärast ja töötajatest

tulenevalt on vajalik). Reeglid e-posti kasutamise kohta oleks kasulik kehtestada kirjalikult

(näiteks sisekorraeeskirjades või arvuti kasutamise eeskirjades). Ehk siis ettevõtted reguleerivad

ise oma organisatsioonisiseselt kirjade saatmise reeglid (arvestades oma ettevõtte tehnilist

võimekust, turvalisust, saadetavaid isikuandmeid jne) ja arvestades seejuures andmetöötluse

üldiste reeglitega.

Eeskirjadega ei saa tööandja siiski kehtestada selliseid piiranguid ega luua endale õigusi, mis on

põhiseaduse või teiste seadustega (eeskätt isikuandmete kaitse seaduse) vastuolus. Näiteks ei saa

tööandja endale kehtestada õigust rikkuda töötaja erakirjade sõnumisaladust. Samuti tuleb

selliste eeskirjade kehtestamisel austada töötaja inimväärikust (loe põhiõiguste riivamise

tingimuste kohta täpsemalt käesoleva juhendmaterjali punktist 1.2.). Eeskirjade kehtestamine

ei vabasta tööandjat isikuandmete kaitse seaduses sätestatud kohustuste täitmisest ega

võimalikust vastutusest ebaseadusliku tegevuse eest.

Lühidalt kõige olulisemat kokku võttes tuleb ka ettevõttesiseste reeglite koostamisel selgelt

määratleda andmete töötlemise eesmärgid, kontrollida valitud meetme proportsionaalsust ja

lähtuda minimaalsuse ning läbipaistvuse nõudest (sh panna kirja täpselt, milliseid isikuandmeid

ning kuidas ettevõtte töödeldakse, kellel ligipääs jne).

2 (2)

Rohkem informatsiooni isikuandmetest töösuhetes leiate Andmekaitse Inspektsiooni juhisest.

Üldised põhimõtted on leitavad isikuandmete töötleja üldjuhendist. Samuti on oluline teada,

millal isikuandmete kaitse reeglid ei kehti. Igal juhul on ettevõttel õigus pöörduda

õigusnõustajate poole, kes siis saavad ettevõtte eripäradest lähtuvalt luua konkreetsed

dokumendid, mis aitaksid muuhulgas reguleerida ettevõtte tööd seaduseid järgides.

Loodan, et minu selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist-konsultant

peadirektori volitusel