Arvamus

Justiits- ja Digiministeerium Eesti Andmekaitse Liit

[email protected]

Teie: 28.05.2025 nr 10-4/4625-1

Meie: 06.06.2025

Lp Kristi Värk

Täname Justiits- ja Digiministeeriumit Eesti Andmekaitse Liidu kaasamise eest. Esitame siinkohal meie

tagasiside isikuandmete kaitse üldmääruse muutmise ettepanekule.

Eesti Andmekaitse Liit peab kõige olulisemaks, et Euroopa Komisjon arvestab isikuandmete kaitse

üldmääruse algse mõttega1 ehk muudatustega peab olema tagatud füüsiliste isikute andmete ja eraelu

kaitse. Digitaalmaailma ohud ei ole võrreldes 2016. a vähenenud füüsilistele isikutele, vastupidi.

Seejuures ei tohiks ka lõhkuda toimivat isikuandmete andmehaldusmudelit poliitilise agenda survel.

Euroopa Liidu tugevus on inimõiguste ja vabaduste kaitse.

Järgnevalt on esitatud Eesti Andmekaitse Liidu tagasiside isikuandmete kaitse üldmääruse muutmise

ettepanekule:

Euroopa Komisjoni poolt esitatud ettepanek: „IKÜMi vaatest puudutab määruse artiklit 30, milles on

sätestatud, et iga vastutav töötleja ja volitatud töötleja peab pidama töötlemistoimingute registrit ning

millist teavet see register peaks sisaldama. Samuti on artiklis toodud tingimused, millal seda kohustust

täitma ei pea. Komisjoni ettepaneku eesmärk on laiendada kõnealuse artikli kohast erandi

kohaldamisala, muutes andmete töötlemise toimingute registreerimise kohustuslikuks üksnes juhul,

kui töötlemistoimingud kujutavad endast tõenäoliselt suurt ohtu andmesubjektide õigustele ja

1 Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)

vabadustele. Selle erandi kasutamine osutuks võimalikuks organisatsioonidele, kus on vähem kui 750

töötajat.“

- Eesti Andmekaitse Liidu poolt peame vajalikuks välja tuua, et isikuandmete töötlemise

toimingute registreerimine on saanud osaks tänapäevaste digiteenuste jm äriprotsesside

kaardistamisest. Tänapäeval on normaalne, et ettevõtjad teavad/peavad teadma, mis

andmed (vara) neil on, mida selle varaga tehakse, mis alusel ja kuidas on see vara kaitstud.

Isikuandmete töötlemise toimingute register on siin olnud oluline ja tänuväärne abivahend

ettevõtetele, et mh tagada infoturve ning täita nt ISO 27001 jm standardite nõudeid.

Ettevõtte töötajate arv ei ole määrav, oluline on info/andmete kaitse. Lisaks on Euroopa

Liidu põhiõiguste hartas sätestatud eraelu ja perekonnaelu ning isikuandmete kaitse

tagamise kohustused. Isikuandmete töötlemise toimingute registreerimiskohustus on

esmane ja oluline kohustus, mis tegelikkuses tagab just nende põhiõiguste hartas esitatud

õiguste realiseerimist ja kaitset reaalses elus.

Artikkel 7

Era- ja perekonnaelu austamine

„Igaühel on õigus sellele, et austataks tema era- ja perekonnaelu, kodu ja edastatavate

sõnumite saladust.“

Artikkel 8

Isikuandmete kaitse

„1. Igaühel on õigus oma isikuandmete kaitsele.

2. Selliseid andmeid tuleb töödelda asjakohaselt ning kindlaksmääratud eesmärkidel ja

asjaomase isiku nõusolekul või muul seaduses ettenähtud õiguslikul alusel. Igaühel on

õigus tutvuda tema kohta kogutud andmetega ja nõuda nende parandamist.3. Nende

sätete täitmist kontrollib sõltumatu asutus.“

- Komisjoni ettepanek loob olukorra, kus iga ettevõte peab viima läbi nüüd isikuandmete

töötlemise toimingute registri pidamise asemel andmekaitsealaseid mõjuhinnanguid.

Andmekaitsealane mõjuhinnang on see riskihalduse vahend, mille alusel saab selgeks, kas

tegemist on kõrge riskiga andmetöötlustoiminguga. Kas töötlemistoimingud kujutavad

endast tõenäoliselt suurt ohtu andmesubjektide õigustele ja vabadustele? Nendele

küsimustele vastamine nõuab eraldi hindamist, sest vastus küsimustele sõltub alati

konkreetsest kontekstist (nt mis andmeliigid, ulatuses, kus andmed asuvad jne). Seetõttu

on muudatus arusaamatu, sest isikuandmete töötlemistoimingute ja riskide haldus

muutub mahukamaks ja keerulisemaks praktikas ning andmetöötlejate vastutus nö

laieneb, sest igaks-juhuks on vaja nüüd täiendavalt hinnata ohte ja riske, et tõendada enda

hindamise kohustuste täitmist.

- Kui kaob ära isikuandmete töötlemisetoimingute registri pidamise kohustus ettevõtetel,

kus on vähem kui 750 töötajat, siis kuidas saavad need ettevõtted üldse täita oma

kohustust ja hinnata, kas neil on kõrge riskiga andmetöötlused – kui nad ei tea, mis

andmetöötlusprotsessid neil üldse on? See tähendab seda, et selleks, et ettevõte saaks

oma kohustust täita, peab ta ikkagi pidama isikuandmete töötlemise toimingute registrit,

sest muidu ei ole ettevõttel infot, millised on need kõrge riskiga

äriprotsessid/andmetöötlustoimingud, mida ettevõte läbi viib ja mille osas on registri

pidamine siis kohustuslik. Ehk tegelikkuses lisaks eelpool väljatoodud lisa mõjuhinnangu

läbiviimise vajadusele, ei kao tegelikkuses registri pidamise vajadus ettevõtetel.

Kokkuvõtvalt oleme seisukohal, et Euroopa Komisjoni ettepanek ei arvesta reaalseid olusid

andmehalduses ja ettevõtete halduskoormus hoopis kasvab, sest lisaks isikuandmete

töötlemistoimingute registrile on nüüd tarvis vaja veel tõendada riskide hindamise läbiviimist füüsiliste

isikute õigustele ja vabadustele ning ettevõtete dokumentatsioon ja halduskulud hoopis kasvavad.

Oleme valmis kõiki eeltoodud punkte Eesti Andmekaitse liidu poolt täiendavalt selgitama.

Lugupidamisega

Marit Saaretalu

Eesti Andmekaitse Liit

Juhatuse liige

Justiits- ja Digiministeerium Eesti Andmekaitse Liit

[email protected]

Teie: 28.05.2025 nr 10-4/4625-1

Meie: 06.06.2025

Lp Kristi Värk

Täname Justiits- ja Digiministeeriumit Eesti Andmekaitse Liidu kaasamise eest. Esitame siinkohal meie

tagasiside isikuandmete kaitse üldmääruse muutmise ettepanekule.

Eesti Andmekaitse Liit peab kõige olulisemaks, et Euroopa Komisjon arvestab isikuandmete kaitse

üldmääruse algse mõttega1 ehk muudatustega peab olema tagatud füüsiliste isikute andmete ja eraelu

kaitse. Digitaalmaailma ohud ei ole võrreldes 2016. a vähenenud füüsilistele isikutele, vastupidi.

Seejuures ei tohiks ka lõhkuda toimivat isikuandmete andmehaldusmudelit poliitilise agenda survel.

Euroopa Liidu tugevus on inimõiguste ja vabaduste kaitse.

Järgnevalt on esitatud Eesti Andmekaitse Liidu tagasiside isikuandmete kaitse üldmääruse muutmise

ettepanekule:

Euroopa Komisjoni poolt esitatud ettepanek: „IKÜMi vaatest puudutab määruse artiklit 30, milles on

sätestatud, et iga vastutav töötleja ja volitatud töötleja peab pidama töötlemistoimingute registrit ning

millist teavet see register peaks sisaldama. Samuti on artiklis toodud tingimused, millal seda kohustust

täitma ei pea. Komisjoni ettepaneku eesmärk on laiendada kõnealuse artikli kohast erandi

kohaldamisala, muutes andmete töötlemise toimingute registreerimise kohustuslikuks üksnes juhul,

kui töötlemistoimingud kujutavad endast tõenäoliselt suurt ohtu andmesubjektide õigustele ja

1 Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus)

vabadustele. Selle erandi kasutamine osutuks võimalikuks organisatsioonidele, kus on vähem kui 750

töötajat.“

- Eesti Andmekaitse Liidu poolt peame vajalikuks välja tuua, et isikuandmete töötlemise

toimingute registreerimine on saanud osaks tänapäevaste digiteenuste jm äriprotsesside

kaardistamisest. Tänapäeval on normaalne, et ettevõtjad teavad/peavad teadma, mis

andmed (vara) neil on, mida selle varaga tehakse, mis alusel ja kuidas on see vara kaitstud.

Isikuandmete töötlemise toimingute register on siin olnud oluline ja tänuväärne abivahend

ettevõtetele, et mh tagada infoturve ning täita nt ISO 27001 jm standardite nõudeid.

Ettevõtte töötajate arv ei ole määrav, oluline on info/andmete kaitse. Lisaks on Euroopa

Liidu põhiõiguste hartas sätestatud eraelu ja perekonnaelu ning isikuandmete kaitse

tagamise kohustused. Isikuandmete töötlemise toimingute registreerimiskohustus on

esmane ja oluline kohustus, mis tegelikkuses tagab just nende põhiõiguste hartas esitatud

õiguste realiseerimist ja kaitset reaalses elus.

Artikkel 7

Era- ja perekonnaelu austamine

„Igaühel on õigus sellele, et austataks tema era- ja perekonnaelu, kodu ja edastatavate

sõnumite saladust.“

Artikkel 8

Isikuandmete kaitse

„1. Igaühel on õigus oma isikuandmete kaitsele.

2. Selliseid andmeid tuleb töödelda asjakohaselt ning kindlaksmääratud eesmärkidel ja

asjaomase isiku nõusolekul või muul seaduses ettenähtud õiguslikul alusel. Igaühel on

õigus tutvuda tema kohta kogutud andmetega ja nõuda nende parandamist.3. Nende

sätete täitmist kontrollib sõltumatu asutus.“

- Komisjoni ettepanek loob olukorra, kus iga ettevõte peab viima läbi nüüd isikuandmete

töötlemise toimingute registri pidamise asemel andmekaitsealaseid mõjuhinnanguid.

Andmekaitsealane mõjuhinnang on see riskihalduse vahend, mille alusel saab selgeks, kas

tegemist on kõrge riskiga andmetöötlustoiminguga. Kas töötlemistoimingud kujutavad

endast tõenäoliselt suurt ohtu andmesubjektide õigustele ja vabadustele? Nendele

küsimustele vastamine nõuab eraldi hindamist, sest vastus küsimustele sõltub alati

konkreetsest kontekstist (nt mis andmeliigid, ulatuses, kus andmed asuvad jne). Seetõttu

on muudatus arusaamatu, sest isikuandmete töötlemistoimingute ja riskide haldus

muutub mahukamaks ja keerulisemaks praktikas ning andmetöötlejate vastutus nö

laieneb, sest igaks-juhuks on vaja nüüd täiendavalt hinnata ohte ja riske, et tõendada enda

hindamise kohustuste täitmist.

- Kui kaob ära isikuandmete töötlemisetoimingute registri pidamise kohustus ettevõtetel,

kus on vähem kui 750 töötajat, siis kuidas saavad need ettevõtted üldse täita oma

kohustust ja hinnata, kas neil on kõrge riskiga andmetöötlused – kui nad ei tea, mis

andmetöötlusprotsessid neil üldse on? See tähendab seda, et selleks, et ettevõte saaks

oma kohustust täita, peab ta ikkagi pidama isikuandmete töötlemise toimingute registrit,

sest muidu ei ole ettevõttel infot, millised on need kõrge riskiga

äriprotsessid/andmetöötlustoimingud, mida ettevõte läbi viib ja mille osas on registri

pidamine siis kohustuslik. Ehk tegelikkuses lisaks eelpool väljatoodud lisa mõjuhinnangu

läbiviimise vajadusele, ei kao tegelikkuses registri pidamise vajadus ettevõtetel.

Kokkuvõtvalt oleme seisukohal, et Euroopa Komisjoni ettepanek ei arvesta reaalseid olusid

andmehalduses ja ettevõtete halduskoormus hoopis kasvab, sest lisaks isikuandmete

töötlemistoimingute registrile on nüüd tarvis vaja veel tõendada riskide hindamise läbiviimist füüsiliste

isikute õigustele ja vabadustele ning ettevõtete dokumentatsioon ja halduskulud hoopis kasvavad.

Oleme valmis kõiki eeltoodud punkte Eesti Andmekaitse liidu poolt täiendavalt selgitama.

Lugupidamisega

Marit Saaretalu

Eesti Andmekaitse Liit

Juhatuse liige