Tagasiside andmetega tutvumise võimaldamise seire kohta

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

ASUTUSESISESEKS KASUTAMISEKS

Teabevaldaja: Andmekaitse Inspektsioon Märge tehtud:

Juurdepääsupiirang kehtib kuni:

Alus:

Lp Nele Leht

AS LHV Kindlustus

[email protected]

Teie 21.06.2024 nr 3-1/24/12-2 Meie 31.12.2024 nr 2.1.-4/24/498-1266-13

Tagasiside andmetega tutvumise võimaldamise seire kohta

2024. a kevadel algatas Euroopa Andmekaitsenõukogu liikmesriikides ühistegevuse, mille

eesmärgiks oli saada põhjalikum ülevaade sellest, kuidas on tagatud andmesubjektide õigus

tutvuda andmetega, mis tuleneb isikuandmete kaitse üldmääruse (IKÜM) artiklist 15.

Ühistegevusest võttis osa ka Eesti Andmekaitse Inspektsioon. Andmekaitse Inspektsiooni seire

keskendus 2024. a andmesubjektide õiguste teostamisele kindlustussektoris, mille raames saadeti

täitmiseks küsimustik ka AS-le LHV Kindlustus (LHV Kindlustus, andmetöötleja).

Täname seires osalemast. Käesolevaga toome välja LHV Kindlustuse vastuste analüüsimisel

tuvastatud positiivsed tähelepanekud ja juhime tähelepanu ka töötlemise kitsaskohtadele.

1. Positiivsed praktikad:

a) andmesubjektile kinnituse saatmine taotluse kättesaamise ning vastamise tähtaja kohta;

b) taotluse esitamise võimalus mitmete erinevate kanalite kaudu (post, e-kiri, LHV

kasutajakeskkond või kliendikontoris kirjalikult);

c) võimalus ise tutvuda andmetega LHV kasutajakeskkonnas või ka kontoris;

d) regulaarne kontroll andmesubjektide pöördumistele vastamise osas (vastamise tähtaeg,

sisu jms);

e) kõnesalvestiste väljastamise puhul eelnevalt oma töötaja hääle moonutamine,

videofailide puhul hägustamine või kastiga kolmandate isikute katmine jt.

2. Kitsaskohad:

a) Andmetega tutvumise taotluste säilitamistähtaeg. LHV Kindlustus säilitab teavet

andmesubjektide andmetega tutvumise taotluste ja nendega seotud kirjavahetuse kohta

10 aastat arvates andmesubjektile viimase vastuse edastamisest. Säilitamise aluseks on

LHV Kindlustuse õigustatud huvi enda kaitsmiseks seoses võimalike õigusnõuetega.1

Säilitamise piirangu põhimõtte kohaselt (IKÜM art 5 lg 1 punkt e) peavad vastutavad töötlejad

tagama ka selliste isikuandmete (juurdepääsutaotlused ja nendega seotud kirjavahetus)

asjakohased säilitamistähtajad ja suutma nende asjakohasust tõendada (IKÜM art 5 lg 2).

Igasugune säilitamine peab olema objektiivselt põhjendatud. Siinkohal tuleks arvesse võtta, et

koondandmete pakett, mis sisaldab kõiki taotluse esitanud andmesubjektiga seoses töödeldavaid

isikuandmeid, annab mõnikord üksikasjaliku ülevaate andmesubjekti eraelust. Säilitamistähtaeg

peaks olema määratud objektiivsete kriteeriumite alusel ja dokumenteeritud põhjendustega.

Vastutavad töötlejad peaksid tagama, et juurdepääsutaotluse teatis salvestatakse eraldi muust

1 LHV Kindlustuse vastus küsimusele 2.2

2 (3)

andmesubjekti käsitlevast teabest, mille suhtes võidakse kohaldada muid säilitamistähtaegu ning

samuti muudest juurdepääsuõigustest vastutava töötleja organisatsioonis. Seega tuleks

andmetöötlejal analüüsida õigusnõuete esitamise sagedust senises praktikas juurdepääsuõiguste

taotlustega seonduvalt ja vaadata üle määratud 10-aastase säilitamistähtaja proportsionaalsus ning

vajalikkus.

b) Info vastuvõtjate kohta. LHV Kindlustus on öelnud, et edastab reeglina info

andmesubjektile vastuvõtjate kategooriate kaupa. Juhul, kui andmesubjekt soovib

saada informatsiooni täpsete vastuvõtjate kohta, siis vastav info talle ka väljastatakse.2

IKÜM artikli 15 lg 1 punkti c kohaselt tuleb andmesubjektile anda info vastuvõtjate või

vastuvõtjate kategooriate kohta. Vastutavad töötlejad peavad täpselt registreerima, millistele

üksustele nad isikuandmeid avaldavad ja kus need vastuvõtjad asuvad, et oleks võimalik nimetada

tegelikud vastuvõtjad vastavalt IKÜM artikli 15 lõike 1 punktile c. Artikli 15 kohaselt ette nähtud,

et kui andmesubjekt ei ole otsustanud teisiti, on vastutav töötleja kohustatud nimetama tegelikud

vastuvõtjad, välja arvatud juhul, kui neid vastuvõtjaid ei ole võimalik kindlaks teha või kui

vastutav töötleja tõendab, et andmesubjekti andmetega tutvumise taotlused on selgelt

põhjendamatud või ülemäärased isikuandmete kaitse üldmääruse artikli 12 lõike 5 tähenduses.3

c) Hindamise ajaline lähtepunkt. LHV Kindlustus on öelnud, et teavet selle kohta, kas

andmed on muutunud andmesubjekti taotluse esitamise ja väljavõtte tegemise

vahepealsel perioodil, andmesubjektile ei edastata.4

Läbipaistvuse põhimõtte järgimiseks peaksid vastutavad töötlejad teavitama andmesubjekti

sellest, millisele konkreetsele töötlemise ajahetkele vastutava töötleja vastuses viidatakse.

Mõnikord, näiteks tiheda suhtluse puhul, võib töötlemise hindamise hetke ja vastutavalt töötlejalt

vastuse saamise vahelisel ajal toimuda andmete täiendav töötlemine või muutmine. Kui vastutav

töötleja on sellistest muudatustest teadlik, on soovitatav lisada teave nende muudatuste kohta,

samuti teave täiendava töötlemise kohta, mis on vajalik taotlusele vastamiseks. Töödeldavate

andmete hindamine peab kajastama võimalikult täpselt olukorda ajal, mil vastutav töötleja saab

taotluse, ja vastus peaks hõlmama kõiki sel ajal kättesaadavaid andmeid. See tähendab, et vastutav

töötleja peab püüdma põhjendamatu viivituseta välja selgitada kõik andmesubjektiga seotud

andmetöötlustoimingud. Vastutav töötleja ei ole kohustatud esitama isikuandmeid, mida ta on

varem töödelnud, kuid mis ei ole enam tema käsutuses.5 Seega tuleks andmetöötlejal jälgida, kas

taotluse esitamise ja andmete väljastamise vahele jäänud ajavahemikus on toimunud muudatusi

andmesubjekti andmete töötlemises ning esitada ka see teave andmesubjektile.

d) Juurdepääsutaotluste vastuvõtmise viisid. LHV Kindlustus on oma vastuses öelnud, et

chati ja telefoni teel taotlusi vastu ei võeta ega lahendata: Kui taotlus tuleb chati või

telefoni teel, siis juhendatakse andmesubjekti taotlust esitama e-kirja teel,

kasutajakeskkonnas, kliendikontoris või posti teel.6 Kui andmesubjekt soovib teavet

saada suuliselt (telefoni teel), siis ta suunatakse esitama kirjalikku taotlust (taotluse

esitamine e-maili teel, LHV kasutajakeskkonna (iseteeninduskeskkonna) kaudu või

kliendikontoris).7

Selgitame, et vastutavad töötlejad peaksid olema valmis juurdepääsutaotlust vastu võtma ja

menetlema olenemata selle saamise viisist. Andmetega tutvumise õiguse kasutamiseks ei ole õiget

ega standardset viisi ning andmesubjektil ei tohiks olla takistusi oma õiguste kasutamisel.

Suunistes 01/2022 korratakse, et isikuandmete kaitse üldmääruses ei ole sätestatud mingeid

2 LHV Kindlustuse vastus küsimusele 5.7 3 Kohtuotsus, Euroopa Kohus, Österreichische Post AG, C-154/21 4 LHV Kindlustuse vastus küsimusele 5.16 5 Suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega. lk.18 6 LHV Kindlustuse vastus küsimusele 4.2 7 LHV Kindlustuse vastus küsimusele 4.7

3 (3)

ametlikke nõudeid andmetega tutvumise taotlustele, et vastutav töötleja hõlbustab andmetega

tutvumise õiguse kasutamist ega tohiks keelduda andmetega tutvumise taotluse alusel tegutsemast,

välja arvatud juhul, kui ta suudab tõendada, et ta ei suuda andmesubjekti tuvastada (IKÜM art 12

lõige 2). Seega tuleb andmetöötlejal läbi mõelda lahendused nende andmesubjektide taotluste

lahendamiseks, kes soovivad taotluse esitada nt suuliselt.

Koondraport seire tulemustega avalikustatakse Euroopa Andmekaitsenõukogu (EAKN) kodulehel

jaanuaris 2025.

Lugupidamisega

(allkirjastatud digitaalselt)

Annika Kaljula

jurist

peadirektori volitusel