Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Mart Kivi

Caverion Eesti AS

[email protected]

Teie 12.02.2025 Meie 27.02.2025 nr 2.2-9/25/487-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon sai Teie pöördumise seoses valvekaamerate kasutamisega.

Esmalt selgitan, et Andmekaitse Inspektsioon ei saa selgitustaotlusele vastates anda konkreetsele

juhtumile siduvat õiguslikku hinnangut, see on võimalik ainult järelevalvemenetluses.

Inspektsiooni kohustus on märgukirjale ja selgitustaotlusele vastamise ning kollektiivse

pöördumise esitamise seaduse §-st 3 tulenevalt anda õigusalaseid selgitusi.

Teie pöördumise põhjal võib mõista, et valvekaamerate salvestust on kasutatud juriidilise isiku

poolt lepingu täitmise hindamiseks.

Selgitan, et isikuandmete kaitse peamised nõuded tulenevad isikuandmete kaitse üldmäärusest1

(IKÜM), isikuandmete kaitse seadusest ning vastavatest eriseadustest. IKÜM-i

reguleerimisesemeks on normid, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel

ja isikuandmete vaba liikumist ning eesmärgiks on üksnes füüsiliste isikute põhiõiguste ja -

vabaduste kaitsmine, eriti nende isikuandmete kaitse õiguse tagamine2. See tähendab, et IKÜM-i

ei rakendata ja isikuandmete kaitse reeglid ei kohaldu, kui tegu on juriidilise isiku andmetega.

Teie pöördumisest nähtub, et kaameraga on salvestatud ja salvestiselt vaadatud füüsiliste isikute

(Teie ettevõtte töötajate) tegevust ehk on töödeldud nende töötajate isikuandmeid. Kuivõrd

kaameratega isikute jälgimine võib mõjutada nende isikute õigusi, siis selgitan järgnevat.

Isikuandmeteks on igasugune teave otseselt või kaudselt tuvastatud või tuvastatava füüsilise isiku

kohta ning töötlemine on mistahes isikuandmetega tehtav toiming3. Kaamerate abil on isik igal

juhul tuvastatav, seega on videovalve puhul tegemist isikuandmete töötlemisega, mille osas tuleb

järgida IKÜM-is sätestatud nõudeid.

Isikuandmete vastutav töötleja4 – asutus või ettevõte, kes on paigaldanud kaamera ja seadnud selle

kasutamise eesmärgi(d) ning valinud selleks vajalikud vahendid – on kohustatud tagama IKÜM

artiklis 6 nimetatud töötlemise seaduslikkuse ja järgima IKÜM artiklis 5 kehtestatud isikuandmete

töötlemise põhimõtteid. Lisaks põhimõtete täitmisele peab vastutav töötleja olema võimeline ka

nende põhimõtete täitmist tõendama.5

1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete

töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta 2 IKÜM art 1 lõiked 1 ja 2 3 IKÜM art 4 punktid 1 ja 2 4 IKÜM art 4 punkt 7 5 IKÜM art 5 lg 2

2 (4)

Isikuandmete töötlemise õiguslik alus6

Isikuandmete töötlemise seaduslikkus tähendab, et kaamera kasutamine ning seeläbi isikuandmete

töötlemine peab tuginema isikuandmete kaitse üldmääruses või eriseaduses toodud õiguslikule

alusele. Eriseaduses sätestatud aluse üheks näiteks on põhikooli ja gümnaasiumi seaduse § 44 lg

5, mis võimaldab koolil õpilaste ja koolitöötajate turvalisust ohustava olukorra ennetamiseks ja

olukorrale reageerimiseks ning kooli vara kaitsmiseks kasutada kooli territooriumil pilti edastavat

ja salvestavat jälgimisseadmestikku.

Kui eriseadusest tulenevat alust ei ole, mis lubab kindlas tegevusvaldkonnas videovalvet

korraldada, tuleb arvestada, et tõenäoliselt saab õiguslikuks aluseks olla õigustatud huvi7.

Õigustatud huvile tuginemiseks peavad olema korraga täidetud kõik kolm tingimust:

- vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on

andmetöötluseks õigustatud huvi;

- isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks;

- vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava

andmesubjekti huvid, põhiõigused ja – vabadused.

Esiteks tuleb esmalt täpselt välja selgitada, kas ja millised on andmetöötleja enda konkreetsed

õigustatud huvid. Ennekõike on oluline, et õigustatud huvi oleks kooskõlas kehtivate

õigusaktidega, sõnastatud piisavalt selgelt (st piisavalt konkreetselt) ning reaalne ja hetkel esinev

(st mitte spekulatiivne).

Teiseks tuleb analüüsida ja läbi mõelda, millised on võimalikud andmesubjekti huvid või

põhiõigused– ja vabadused, mida võidakse isikuandmete töötlemisega kahjustada.

Kolmandaks tuleb tasakaalustada andmetöötleja õigustatud huvid andmesubjekti huvide ja

põhiõigustega. Siinjuures võrreldakse isikuandmete töötlemisest (kogumisest, edastamisest,

avalikustamisest) andmesubjektile tekkida võivat mõju vastutava töötleja ja/või kolmanda isiku

õigustatud huvidega ning hinnatakse, kas ja millises ulatuses vastutava töötleja ja/või kolmanda

isiku õigustatud huvi kaalub andmesubjekti huvid üles. Rõhutan, et vastutava töötleja või

kolmanda isiku õigustatud huvid ei kaalu automaatselt üles kaitstavate andmesubjektide

põhiõiguste ja -vabadustega seotud huve.

Õigustatud huvi analüüsiga peab olema võimalik tutvuda igal andmesubjektil (nii kliendil kui

töötajal). Kuidas õigustatud huvi täpselt hinnata, on inspektsioon selgitanud eraldi juhendis. Juhul

kui andmetöötleja jätab õigustatud huvi analüüsi korrektselt tegemata (sh ei arvesta andmesubjekti

õigustega), on kaamerate kasutamine keelatud ning tegemist on IKÜM nõuete rikkumisega.

Lisaks õiguslikule aluse olemasolule, tuleb kaamerate kasutamisel tagada andmetöötluse kooskõla

IKÜM artiklis 5 sätestatud isikuandmete töötlemise põhimõtetega.

Seaduslikkuse, õigluse ja läbipaistvuse põhimõte8

Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik (st eelpool selgitatud õiguslik

alus) ehk täielikult kooskõlas isikuandmete kaitse nõuetega. Lisaks peab isikuandmete töötlemine

olema läbipaistev. Selleks peab kogu isikuandmete töötlemisega seotud teave olema

andmesubjektile lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud.

6 IKÜM art 6 lg 1 7 IKÜM art 6 lg 1 punkt f 8 IKÜM art 5 lg 1 punkt a

3 (4)

Esmajoones peaks see teave isikuandmete töötlemisest olema andmesubjektidele nähtav ja

kättesaadav videovalve teavitussiltidena. Teavitussiltide puudumisel on andmesubjektidel

keeruline teostada oma õigust saada teavet isikuandmete töötlemisest, sest pole teada, kellele

kaamera kuulub ja kelle poole seetõttu pöörduda. Enne videoalasse jõudmist tuleb seega inimesele

avaldada

- kes on videovalve korraldaja ja milline on tema kontakt;

- millisel eesmärgil ja õiguslikul alusel videovalvet korraldatakse ning

- kust leiab täpsema info isikuandmete töötlemise kohta.

Teavitussiltidelt peab ilmnema, kelle poole andmesubjekt saab pöörduda, kui ta tahab täiendavat

infot. Täiendavat infot sisaldavad ja läbipaistvuse põhimõtet aitavad sisustada

andmekaitsetingimused, mis tuleb koostada vastavalt tegelikule andmetöötlusele.

Eesmärgi- ja säilitamise piirangu ning minimaalsuse põhimõte9

Selleks et hinnata, kas kaamerate kasutamine vastab eesmärgi piirangu ning võimalikult väheste

andmete kogumise põhimõttele, tuleb:

1) tuua välja kõik konkreetsed kaamerate kasutamise eesmärgid;

2) hinnata, kas nimetatud eesmärkide täitmisel on kaamerate kasutamine vajalik või on selle

täitmiseks muid ja andmesubjekti vähem riivavamaid meetmeid.

Eesmärgikohasus tähendab, et kaamerat tohib kasutada ainult sellel eesmärgil, milleks

kaamera on paigaldatud. Kui kaamera on pandud vara kaitseks, siis kaamerapilti ei tohi kasutada

algsest erineval eesmärgil, näiteks avalikustada kellegi häbiposti panemiseks või meelelahutuseks

jmt. Töösuhete puhul on inspektsiooni seisukoht, et tööandja poolt kaamerate paigaldamise

eesmärgiks ei saa olla töötajate reaalajas jälgimine ega nende tegevuse kontrollimine. Lisaks on

oluline tagada töötajatele võimalus kaamera vaateväljast eemal olla, paigutades kaamerad näiteks

selliselt, et need ei rikuks töötaja privaatsust puhkeajal ega jälgiks töötaja tegevusi, mis ei ole

seotud tööprotsessiga.

Ühtlasi tuleb aga isikuandmete töötleja poolt seatud eesmärgi saavutamisel arvestada sellega, et

isikuandmeid tuleb koguda nii vähe kui võimalik (minimaalsus). Igaks juhuks andmete kogumine

on ebaseaduslik. Seega tuleb kaamera puhul kaardistada, milliseid andmeid tegelikkuses seatud

eesmärgi saavutamiseks vaja on. Hinnata tuleb sedagi, et kui kaamera suunda ja vaatevälja on

muudetud, kas see täidab enam üldse seatud eesmärki või tuleks antud kaameraga isikuandmete

töötlemine lõpetada. Isikuandmete töötlemine tuleb lõpetada ja andmed kustutada või viia

isikustamata kujule kohe, kui langeb ära töötlemise õiguslik alus ja/või on täidetud eesmärgid,

milleks neid koguti.

Isikuandmete töötlemise aeg peab piirduma rangelt minimaalsega. Selle tagamiseks, et

isikuandmeid ei töödelda vajalikust kauem, peab vastutav töötleja kindlaks määrama tähtajad

isikuandmete kustutamiseks ning perioodiliseks läbivaatamiseks.10 Euroopa

Andmekaitsenõukogu seisukoha järgi tuleb isikuandmed enamikul juhtudel kustutada –

ideaaljuhul automaatselt – mõne päeva pärast. Mida pikem on ettenähtud videosalvestise

säilitamisaeg (eriti kui see on pikem kui 72 tundi), seda rohkem tuleb põhjendada eesmärgi

õiguspärasust ja säilitamise vajalikkust. Seega olukorras, kus eriseadusest ei tulene 72 tunnist

pikemat säilitamistähtaega, tuleb vastutaval töötlejal salvestiste pikema säilitamise tähtaja

vajadust selgelt ja arusaadavalt põhjendada.11

9 IKÜM art 5 lg 1 punktid b, c ja e 10 IKÜM art 5 lg 1 punkt c ja põhjenduspunkt 39. 11 Euroopa Andmekaitsenõukogu suunised 3/2019 isikuandmete töötlemise kohta videoseadmetes, lk 28 p 121,

leitavad https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_et.pdf.

4 (4)

Usaldusväärsuse ja konfidentsiaalsuse põhimõte12

Nende põhimõtete puhul peetakse silmas, et isikuandmeid tuleb töödelda viisil, mis tagab

isikuandmete asjakohase turvalisuse, sh kaitseb loata või ebaseadusliku töötlemise eest. Kaamera

kasutamisel tuleb määrata, kellel on õigus kaamerasalvestisele ligi pääseda. Selleks, et kontrollida

andmetöötluse õiguspärasust ka tagantjärgi, tuleb kasutusele võtta vastavad turvameetmed.

Näiteks logimissüsteem on viis, mis võimaldab kontrollida seda, et kaamera otsepilti või salvestisi

ei oleks vaadatud ebaseaduslikult, sh ilma põhjuseta.

Lisaks selgitan, et kui andmesubjektil, st isikul, kelle isikuandmeid on kaamera vahendusel

töödeldud, on kahtlus kaamera kasutamise õiguspärasuses, tuleb tal kõigepealt võtta ühendust selle

kinnisasja omanikuga, kus kaamerat kasutatakse. Kaamera paigaldaja/kasutaja/omanik saab ja

peab isikule selgitama, kas ja millisel õiguslikul alusel ja eesmärgil on kaamera paigaldatud,

samuti muid kaamera kasutamisega seotud asjaolusid, nt kaamera vaatevälja ulatust, kuidas

andmeid töödeldakse, kui kaua säilitatakse jmt. Andmesubjektil13 on õigus esitada vastutavale

töötlejale vastuväiteid, samuti nõuda teavet oma andmete töötlemise kohta, andmete parandamist,

kustutamist, kasutamise piiramist jne. Vastama peab kaameraomanik IKÜM art 12 lõikest 3

tulenevalt kuu aja jooksul.

Kokkuvõtlikult, kaamerate kasutamise isikuandmete töötlemise õiguspärasuse kontrollimisel tuleb

lähtuda eelkõige kaamerate kasutamise õiguslikust alusest ning hinnata seda koosmõjus kaamerate

kasutamise eesmärgi ja teiste IKÜM artiklis 5 sätestatud põhimõtetega. Isikuandmete vastutava

töötleja kohustus on kaameratega seotud isikuandmete töötlemise tingimused dokumenteerida

ning vajadusel töötlemise õiguspärasust tõendada.

Täiendavalt leiate täpsemat infot kaamerate kasutamise kohta Andmekaitse Inspektsiooni

koostatud juhendist, KKK-st ja videovalve korraldajale koostatud nõuannetest.

Loodan, et minu selgitustest oli abi.

Lugupidamisega

Anu Suviste

jurist

peadirektori volitusel

12 IKÜM artikkel 5 lg 1 punkt f 13 Vt IKÜM artiklid 12-22 ja AKI veebilehel alajaotus isikuandmed – inimese õigused