Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Kristin Hollo

Maarjamaa Hariduskolleegium

[email protected]

31.10.2024 nr 2.1-1/24/1068-2613-2

Tähelepanu juhtimine

Andmekaitse Inspektsioon (AKI) sai pöördumise, mille kohaselt võimaldab Teie asutus

töötajatele sõidukompensatsiooni vaid GPS-seadme paigaldamisel nende isiklikesse

sõiduautodesse.

Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Seega

olukorras, kus GPS-seadmega varustatud sõiduvahendi kasutaja (nt töötaja) on tuvastatav, on

isikuandmeteks ka GPS-seadmete alusel kogutud andmed. Igasuguseks isikuandmete

töötlemiseks peab olema õiguslik alus. Õiguslik alus isikuandmete töötlemiseks saab tuleneda

isikuandmete kaitse üldmääruse (IKÜM) artiklist 6 (nt õigustatud huvi, nõusolek, juriidiline

kohustus, huvide kaitsmine jm).

AKI hinnangul on töösuhetes isikuandmete töötlemisel töötaja nõusolekule tuginemine

problemaatiline. Nõusolekut ei saa lugeda vabatahtlikult antuks olukorras, kus inimene ning

andmetöötleja on ebavõrdses olukorras, sh olukorras, kus on vähetõenäoline, et isik andis

nõusoleku vabatahtlikult. Töölepingu seaduse § 1 järgi on töölepinguline suhe alluvussuhe, kus

tööandjal on teatud võim töötaja üle, seal hulgas õigus töötajat juhtida ja kontrollida. See paneb

aga tööandjale andmete töötlemisel kohustuseks nõusoleku puhul tõendada, et nõusolek on antud

vabatahtlikult, vastasel juhul ei ole nõusolek kehtiv.

Nõusolek on IKÜM tähenduses andmesubjekti vabatahtlik, konkreetne, teadlik ja ühemõtteline

tahteavaldus, millega ta kas avalduse vormis või selget nõusolekut väljendava tegevusega

nõustub enda kohta käivate isikuandmete töötlemisega. Seega olukorras, kus tööandja lihtsalt

annab töötajale teada, et edaspidi toimub kulude kompenseerimine läbi digitaalse sõidupäeviku

ja GPS-seadme kasutamise, ei saa seda pidada tingimustele vastavaks nõusolekuks.

Seega tuleb tööandjal tagada olukord, kus töötajatel on reaalne võimalus oma nõusolekut

andmete töötlemiseks mitte anda või hiljem tagasi võtta. Seda on kõige parem teostada läbi

alternatiivi loomise ehk et säilib võimalus sõidupäevikut esitada ka ilma jälgimisseadme

kasutamiseta. Väga oluline on silmas pidada, et töötaja ei tohi tunda, et teda survestatakse

jälgimisseadet kasutama. Näiteks ei tohiks selle võimaluse kasutamist propageerida ja samas

rõhutada, kui halb teine variant oleks nii tööandjale kui ka töötajale endale või öelda, et muul

juhul kasutage ühistransporti.

Lisaks õiguslikule alusele on andmetöötlejal kohustus järgida muuhulgas ka IKÜM artiklis 5

sätestatud põhimõtteid, sh lg 1 punktis a, b ja c sätestatut:

- töötlemine on seaduslik, õiglane ja isikule läbipaistev;

2 (3)

- eesmärgi piirang – isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning

õiguspärastel eesmärkidel;

- võimalikult väheste andmete kogumine – isikuandmed on asjakohased, olulised ja

piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt.

Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks.

Isikuandmete töötleja peab andmete töötlemisel alati eelnevalt ka hindama, kas andmetöötlus on

ikka tõesti eesmärgi täitmiseks vajalik ning kas just sellises ulatuses. Lisaks peaks olema piiratud

nende isikute ring, kes GPS andmetele juurde pääsevad, näiteks ei tohiks teostada töötajate

reaalajas jälgimist, kuna GPS-iga autode jälgimine on üpris riivav isikuandmete töötlemine.

Läbipaistvuse põhimõte eeldab, et kogu isikuandmete töötlemisega (sh GPS-seadmete

kasutamisega) seotud teave ja sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt

sõnastatud. Inimeste teavitamist reguleerivad täpsemalt IKÜM artiklid 12–13, mis kohustavad

andmetöötlejat koostama konkreetsed andmekaitsetingimused.1 On äärmiselt oluline, et isikliku

sõiduauto kulude kompenseerimise kord on asutuse juhendites/kordades reguleeritud ning

töötajad on sellega kurssi viidud.

Tulenevalt IKÜM art 5 lg 1 punktist f tagatakse isikuandmete töötlemisel isikuandmete

asjakohane turvalisus, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. Kõik

organisatsioonid, kes oma tegevuse käigus isikuandmetega kokku puutuvad, on kohustatud

tagama, et nende juures töödeldakse isikuandmeid turvaliselt. See tähendab muu hulgas, et

infosüsteemides olevaid isikuandmeid kasutatakse ainult sel eesmärgil, mille jaoks nad kogutud

on, ning keegi ei pääse andmetele ligi omakasupüüdlikel või pahatahtlikel eesmärkidel ega

pelgast uudishimust. Selleks, et ära hoida isikuandmete väärkasutamist ning tagada, et

tagantjärele oleks võimalik kindlaks teha, kes, millal ja miks infosüsteemis andmeid vaadanud

või kasutanud on, peab elektroonilise andmetöötluse puhul pidama logikirjeid isikuandmete

töötlemise kohta.

Kui kasutuses on mõni digitaalne sõidupäeviku lahendus, soovitan digitaalse sõidupäeviku

teenusepakkujaga väga täpselt kokku leppida kõik andmete töötlemist puudutavad aspektid (kui

palju koguvad, kaua säilitavad, kus hoiavad jne) Teie asutuse vajadusi arvesse võttes.

Sõidupäeviku süsteemid erinevad selle poolest, kas andmed salvestatakse seadmesse või

teenusepakkuja serverisse. AKI-le teadaolevalt pakutakse Eestis ka sellist GPS-l põhinevat

sõidupäeviku seadet, mis salvestab andmed autos olevasse seadmesse, kust töötaja ise laeb

andmed edasi arvutisse ning märgib ära töösõidud. Samas pakutakse ka selliseid

sõidupäevikuteenuseid, kus kõik andmed edastatakse reaalaajas teenust pakkuva ettevõtte

serverisse, mis võimaldab töötaja reaalajas jälgimist. Tulenevalt IKÜM-st tuleb eelistada

süsteeme, mis koguvad andmeid ainult sellises ulatuses, mis on eesmärkide täitmiseks vajalik

ning ilma reaalajas jälgimise võimaluseta. Nii nagu ma ka eelpool välja tõin, siis rõhutan

veelkord, et peab säilima alternatiiv sõitude kohta arve pidamiseks ka üldse ilma GSP-s

seadmeteta - töötaja peab sellisel juhul ise kõik sõidud käsitsi sisestama.

Kokkuvõtvalt, digitaalse sõidupäeviku kasutamine on lubatud, kui see toimub vabatahtlikkuse

alusel ning töötajale säilib alternatiiv. Näiteks kui kasutatavas lahenduses on võimalik andmeid

sisestada ka käsitsi, ilma GPS-jälgimist kasutamata või töötajal on võimalik ise sõidupäevikut

pidada. Juhul, kui sellist alternatiivi ei ole, siis ainult GPS-seadme kasutamine lubatav ei ole.

Eelnevast tulenevalt palume

- vaadata üle ja hoolega läbi mõelda sõidukulude hüvitamise kord ning viia see

vastavusse õigusaktidest tulenevate nõuetega;

- koostada andmetöötluse läbipaistvuse tagamiseks andmekaitsetingimused;

1 Andmekaitsetingimuste koostamisest saab täpsemalt lugeda AKI kodulehelt:

https://www.aki.ee/isikuandmed/andmetootlejale/andmekaitsetingimuste-koostamisest.

3 (3)

- selgitada oma töötajatele GPS-seadmete kasutamise ja sõidukulude hüvitamise

nõudeid.

Kahtluse korral võib Andmekaitse Inspektsioon teostada ilma ette teatamata kontrolli2, et

veenduda, kas kaamerate kasutamine vastab eeltoodud tingimustele.

Käesolevale tähelepanu juhtimisele Andmekaitse Inspektsioon vastust ei oota.

Lugupidamisega

Mona-Reti Pavlov

jurist

peadirektori volitusel

2 Isikuandmete kaitse seaduse § 57 koosmõjus korrakaitseseaduse §-de 50 ja 51 alusel.