Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Tallinna Keeltekool

[email protected]

Teie 10.12.2024 Meie 17.12.2024 nr 2.2-9/24/3163-3

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles soovite teada, kas Riigi

Kaitseinvesteeringute Keskuse poolt esitatud nõue ja selle põhjendus on piisav, et neile väljastada

küsitud õppijate isikuandmeid.

Teadmata kõiki asjaolusid, sh millised on hanke tingimused, millised on minimaalsed nõuded

asjaolude tõendamiseks jne, siis saame selgitada, et isikuandmete kaitse üldmääruse (IKÜM) art 5

lg 1 p a sätestab, et isikuandmete töötlemine peab olema seaduslik ja andmesubjektile läbipaistev;

samuti tohib isikuandmeid koguda üksnes kindlaksmääratud õiguspärastel eesmärkidel1 ning

koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid2. Seda, millisel õiguslikul alusel ja

eesmärgil andmetöötlust (sh andmete kogumine ja edastamine) läbi viiakse, peab IKÜM art

5 lg 2 kohaselt selgitama ja tõendama iga andmetöötleja ise. Kui õiguslik alus puudub, siis

andmeid töödelda, st koguda ja edastada, ei tohi.

Pelgalt viide, et hankija tagab isikuandmete töötlemise õiguspärasuse ning vastavuse isikuandmete

kaitse üldmääruses (EL 2016/679) ja teistes andmekaitse õigusaktides sätestatud nõuetele, ei ole

piisavalt täpne viide, et seda lugeda õiguslikuks aluseks konkreetsete andmete töötlemiseks.

Küll aga viitame, et Riigikaitse Investeeringute Keskus on selgitanud, et registreerimislehe koopia

asemel aktsepteerib hankija ka muid dokumente (nt tellija kinnituskirja, üleandmise-vastuvõtmise

akte, väljavõtteid vms), mille põhjal oleks hankijal võimalik sisuliselt kontrollida, et pakkuja on

kvalifitseerimistingimuse täitnud. Niisiis tasuks Tallinna Keeltekoolil endal mõelda läbi, kas on ka

muid võimalusi (sh isikuandmeid töötlemata) asjaolude tõendamiseks, sest registreerimislehe

edastamine koos nende isikuandmetega ei ole ainus variant.

Kui asutus küsib isikuandmeid mingi asjaolu tõendamiseks, siis olemegi soovitanud küsida, et

millisel alusel andmeid küsitakse ning mida asutus loeb piisavaks tõendiks, et konkreetne asjaolu

oleks tõendatud, sh et olete teenuseid osutanud, ning seejärel edastada andmeid minimaalses

mahus eesmärgi saavutamiseks. Praegu tundub, et sellise eesmärgi teostamiseks, st kolmandatele

isikutele isikuandmete edastamiseks teenuse osutamise tõendamiseks, pigem puudub õiguslik alus.

Soovitame kindlasti üle vaadata hanke tingimused, mis võib sisaldada täpseid tingimusi, mida siis

täpselt on vaja konkreetse asjaolu tõendamiseks, sh kas näiteks saab osaliselt andmeid kinni katta

vms.

Lõpetuseks peame vajalikuks viidata, et inspektsioon ei saa jagada ammendavaid hinnanguid

menetluse väliselt, sh kõiki täpseid asjaolusid teadmata ning dokumente hindamata. Kui Teil on

1 IKÜM art 5 lg 1 p b 2 IKÜM art 5 lg 1 p c

2 (2)

vaja konkreetsemat õiguslikku seisukohta lähtuvalt konkreetsetest asjaoludest, siis soovitame

pöörduda õigusnõustajate (advokaadid, juristid jne) poole. Oluline on muuhulgas teadvustada, et

ka koolitustel osalenud isikud oleksid teavitatud (näiteks andmekaitsetingimustes), et nende

andmeid võidakse töödelda sellisel eesmärgil. Samuti viitasime vestluses, et kindlasti tuleb Teil

üle vaadata andmete säilitamise tähtajad järgides seejuures nii minimaalsuse kui eesmärgipärasuse

põhimõtteid.

Rohkem informatsiooni lähtuvalt oma andmetöötlusprotsessidest leiate Andmekaitse

Inspektsiooni veebilehelt. Teile on asjakohane isikuandmete töötleja üldjuhend, mis võtab kokku

kõige olulisema, mida isikuandmete töötleja peab teadma.

Loodan, et minu selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist

peadirektori volitusel