Tähelepanu juhtimine isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Indrek Randvee

juhatuse liige

Paavli Kaltsukas OÜ

[email protected]

Meie 13.03.2024 nr 2.1.-5/24/525-3

Tähelepanu juhtimine isikuandmete kaitse asjas

Andmekaitse Inspektsioon sai märgukirja seoses sellega, et Paavli Kaltsukas OÜ poes on kasutusel

häbitahvel, kus on avalikustatud inimeste fotod. Lisaks ei nähtu poe ustel ega sees teavitusi

videovalve kohta, kuigi poes on kaamerad kasutusel.

Märgukirjast ajendatuna juhib inspektsioon Paavli Kaltsukas OÜ tähelepanu isikuandmete kaitse

nõuetele.

Isikuandmete töötlemise alused

Isikuandmete kaitse peamised nõuded tulenevad Euroopa Parlamendi ja nõukogu määrusest (EL)

2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM), isikuandmete kaitse seadusest ning

vastavatest eriseadustest.

Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Tuvastatav

füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada. Häbitahvlil avalikustatud fotodelt

ja kaamerate abil on inimesed igal juhul tuvastatavad, seega on häbitahvli ja videovalve puhul

tegemist isikuandmete töötlemisega, mille osas tuleb järgida IKÜM-is sätestatud nõudeid.

Isikuandmete vastutav töötleja – isik, kes töötleb isikuandmeid ja kes on määranud töötlemise

eesmärgi(d) ning valinud selleks vajalikud vahendid – on kohustatud tagama IKÜM art-s 6

nimetatud töötlemise seaduslikkuse nõuet (vt allpool õigustatud huvi selgitust) ja järgima IKÜM

art-s 5 kehtestatud isikuandmete töötlemise põhimõtteid. Kusjuures lisaks põhimõtete täitmisele

peab vastutav töötleja olema võimeline nende põhimõtete täitmist ka tõendama.1

1. Seaduslikkus (IKÜM art 5 lg 1 punkt a)

Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik ehk täielikult kooskõlas

IKÜM-i ja isikuandmete kaitse seadusega. Seaduslikkuse põhimõte eeldab, et isikuandmete

töötlemiseks on täidetud vähemalt üks IKÜM art 6 lg-st 1 tulenev tingimus. Selline tingimus saab

olla:

1) inimese nõusolek – nõusolek peab olema vabatahtlik ja selgesõnaline;

2) lepingu täitmine – isikuandmete töötlemine on vajalik inimesega sõlmitud lepingu

täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt inimese

taotlusele;

3) seadusejärgse kohustuse täitmine – isikuandmete töötlemine on vajalik vastutava

töötleja juriidilise ehk seadusjärgse kohustuse täitmiseks;

1 IKÜM art 5 lg 2.

2 (4)

4) eluliste huvide kaitsmine – isikuandmete töötlemine on vajalik inimese enda või mõne

muu inimeste eluliste huvide kaitsmiseks (erandlik andmetöötluse alus);

5) avalikes huvides oleva ülesande täitmine – isikuandmete töötlemine on vajalik avalikes

huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks,

selline alus peab olema reguleeritud siseriiklikus õiguses;

6) õigustatud huvi – isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda

isiku õigustatud huvi korral ning juhul, kui see kaalub üles inimese põhiõigused ja –

vabadused (vt allpool täpsemat selgitust).

Häbitahvli pidamisel avalikustatakse inimese kujutis ja inimesed on piltidelt selgelt tuvastatavad.

Kui inimesed ei ole andnud nõusolekut sellisel viisil endast piltide avalikustamiseks ja olemas

ei ole ka muud piltide avalikustamise alust (mida Paavli Kaltsukas OÜ-l tõenäoliselt ei ole),

on selline isikuandmete avaldamine ebaseaduslik. Seega tuleks selline piltide avalikustamine

lõpetada. Inspektsioon ei tea, mis eesmärgil inimeste fotod häbitahvlil avalikustatakse, kuid kui

selle eesmärk on näiteks hoiatada varguse toimepanija eest või kelleltki võla sisse nõudmine, siis

selline häbiposti pidamine lubatav ei ole. Varguse eest vastutusele võtmiseks ja/või võla

sissenõudmise jaoks on seadusandja näinud ette muud õiguskaitsevahendid.

Videovalve korraldamise alusena õigustatud huvi esinemine

Kui ettevõttele ei tule eriseadusest kaamerate paigaldamise/kasutamise kohustust, on võimalik

kaamerate kasutamisel tugineda üksnes IKÜM artikkel 6 lg 1 punktis f sätestatud alusele ehk

õigustatud huvile. See sätestab, et „isikuandmete töötlemine on seaduslik üksnes juhul, kui see on

vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise

huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta

isikuandmeid“.

Õigustatud huvile tuginemiseks peavad viidatu kohaselt olema korraga täidetud kõik kolm

tingimust:

- vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on

andmetöötluseks õigustatud huvi;

- isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks;

- vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava

andmesubjekti huvid, põhiõigused ja – vabadused.

Esiteks tuleb esmalt täpselt välja selgitada, kas ja millised on andmetöötleja enda konkreetsed

õigustatud huvid. Ennekõike on oluline, et õigustatud huvi oleks kooskõlas kehtivate

õigusaktidega, sõnastatud piisavalt selgelt (st piisavalt konkreetselt) ning reaalne ja hetkel esinev

(st mitte spekulatiivne).

Teiseks tuleb analüüsida ja läbi mõelda, millised on võimalikud andmesubjekti huvid või

põhiõigused– ja vabadused, mida võidakse isikuandmete töötlemisega kahjustada.

Kolmandaks tuleb tasakaalustada andmetöötleja õigustatud huvid andmesubjekti huvide ja

põhiõigustega. Siinjuures võrreldakse isikuandmete töötlemisest (kogumisest, edastamisest,

avalikustamisest) andmesubjektile tekkida võivat mõju vastutava töötleja ja/või kolmanda isiku

õigustatud huvidega ning hinnatakse, kas ja millises ulatuses vastutava töötleja ja/või kolmanda

isiku õigustatud huvi kaalub andmesubjekti huvid üles. Inspektsioon rõhutab, et vastutava töötleja

või kolmanda isiku õigustatud huvid ei kaalu automaatselt üles kaitstavate andmesubjektide

põhiõiguste ja -vabadustega seotud huve.

Õigustatud huvi analüüsiga peab olema võimalik tutvuda igal andmesubjektil (nii kliendil kui

töötajal). Kuidas õigustatud huvi täpselt hinnata, oleme selgitanud eraldi juhendis. Juhul kui

andmetöötleja jätab õigustatud huvi analüüsi korrektselt tegemata (sh ei arvesta töötaja õigustega),

on kaamerate kasutamine keelatud ning tegemist on andmekaitse nõuete rikkumisega.

3 (4)

2. Eesmärgipärasus ja võimalikult väheste andmete kogumine (IKÜM art 5 lg 1 punktid b,

c ja e)

Isikuandmeid tuleb koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel

ning neid ei tohi töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. Töödelda tuleb vaid

nii palju isikuandmeid, mis on vajalik eesmärgi saavutamiseks. Igaks juhuks andmete kogumine

on ebaseaduslik. Tegemist on võimalikult väheste andmete kogumise põhimõttega.

Selleks et hinnata, kas kaamerate kasutamine vastab eesmärgi piirangu ning võimalikult väheste

andmete kogumise põhimõttele, tuleb:

1) tuua välja kõik kaamerate kasutamise eesmärgid ja seda hästi konkreetselt;

2) hinnata, kas nimetatud eesmärkide täitmisel on kaamerate kasutamine vajalik või on selle

täitmiseks muid ja andmesubjekti vähem riivavamaid meetmeid. Nii tuleb läbi mõelda, kas

sama eesmärki on võimalik saavutada ka teiste vahenditega, näiteks signalisatsiooni,

rohkema valgustuse vm abil.

Kuigi ükski seadus ei ütle konkreetselt, et valvekaamera kasutamisel on andmetöötlusreeglid

rangemad, tuleb siiski tõdeda, et mida intensiivsem on riive inimese privaatsusele, seda rohkem

nõutakse andmetöötlejalt isikuandmete toimingute läbipaistvust ja andmekaitsereeglitest

kinnipidamist.

Isikuandmete töötlemine tuleb lõpetada ja andmed kustutada või viia isikustamata kujule kohe,

kui langeb ära töötlemise õiguslik alus ja/või on täidetud eesmärgid, milleks neid koguti.

Isikuandmete töötlemise aeg peab piirduma rangelt minimaalsega. Selle tagamiseks, et

isikuandmeid ei töödelda vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad

isikuandmete kustutamiseks ning perioodiliseks läbivaatamiseks.2 Euroopa Andmekaitsenõukogu

seisukoha järgi tuleb isikuandmed enamikul juhtudel kustutada – ideaaljuhul automaatselt – mõne

päeva pärast. Mida pikem on ettenähtud videosalvestise säilitamisaeg (eriti kui see on pikem kui

72 tundi), seda rohkem tuleb põhjendada eesmärgi õiguspärasust ja säilitamise vajalikkust. Seega

olukorras, kus eriseadusest ei tulene 72 tunnist pikemat säilitamistähtaega, tuleb vastutaval

töötlejal videosalvestiste pikema säilitamise tähtaja vajadust selgelt ja arusaadavalt põhjendada.3

2. Läbipaistvus (IKÜM art 5 lg 1 punkt a) Lisaks eelnevale peab isikuandmete töötlemine olema läbipaistev. Selleks peab kogu isikuandmete

töötlemisega seotud teave olema andmesubjektile, antud juhul eelkõige klientidele, lihtsalt

kättesaadav, arusaadav ning selgelt sõnastatud.

Enne videoalasse jõudmist tuleb inimestele nähtavate teavitussiltidena avaldada, kes on

videovalve korraldaja ja milline on tema kontakt. Teavitussiltide puudumisel on

andmesubjektidel ehk inimestel, kes videovalve alasse satuvad, keeruline teostada oma õigust

saada teavet isikuandmete töötlemisest, sest pole teada, kellele kaamera kuulub ja kelle poole

seetõttu pöörduda. Enne videoalasse jõudmist tuleb seega inimesele avaldada

- kes on videovalve korraldaja ja milline on tema kontakt;

- millisel eesmärgil ja õiguslikul alusel videovalvet korraldatakse ning

- kust leiab täpsema info isikuandmete töötlemise kohta.

Andmekaitse Inspektsiooni veebilehel4 on videovalve sildi loomisel abiks videovalve sildi

genereerija, mida saab kasutada andmekaitsenõuetele vastava videojälgimise teavitussildi

loomiseks.

2 IKÜM art 5 lg 1 punkt c ja põhjenduspunkt 39. 3 Euroopa Andmekaitsenõukogu suunised 3/2019 isikuandmete töötlemise kohta videoseadmetes, lk 28 p 121, leitavad

https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_et.pdf. 4 https://www.aki.ee/isikuandmed/videovalve-korraldajale

4 (4)

Täpsemat infot kaamerate kasutamise kohta leiate Andmekaitse Inspektsiooni kodulehelt ning

vastavast juhendist. Andmekaitsetingimuste jm kohta leiate lisainfot isikuandmete töötleja

üldjuhendist.

Kokkuvõttes palume Paavli Kaltsukas OÜ-l

- eemaldada häbitahvel ja lõpetada õigusliku aluseta inimestest fotode avalikustamine,

- paigaldada kaamerate kasutamisel videovalvest teavitavad sildid.

Käesolevale tähelepanu juhtimisele inspektsioon vastust ei oota, kuid inspektsioon võib igal ajal

ette teatamata kontrollida isikuandmete töötlemise, sh kaamerate kasutamise õiguspärasust ning

õigustatud huvi analüüsi ja andmekaitsetingimuste olemasolu, sh ka kaamerate salvestiste

vaatamise logisid. Rikkumise korral võib inspektsioon algatada järelevalvemenetluse.

Lugupidamisega

Agnes Järvela

jurist

peadirektori volitusel