Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Katrin Verma

Lennuliiklusteeninduse AS

[email protected]

Teie 16.05.2025 Meie 16.06.2025 nr 2.2-9/25/1582-4

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse, millega soovite seisukohta nii töötaja

kui ka endise töötaja nimelise e-postkasti tööandja vaatamisõiguse osas.

Esmalt selgitame, et AKI ei saa selgitustaotlusele vastates anda konkreetset siduvat õiguslikku

hinnangut, see on võimalik ainult järelevalvemenetluses. Märgukirjale ja selgitustaotlusele

vastamise ning kollektiivse pöördumise esitamise seaduse §-st 3 tulenevalt on AKI-l kohustus anda

õigusalaseid selgitusi asutuse tegevuse aluseks olevate õigusaktide ning asutuse pädevuse ja

õigusloome tegevuse kohta. Seetõttu on järgnevalt toodud üldised Euroopa Parlamendi ja nõukogu

määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM) selgitused.

Isikuandmete töötlemine eeldab õigusliku aluse olemasolu (IKÜM art 5 lg 1 punkt a ja IKÜM art

6 lg 1). Nii peab olema õiguslik alus ka (lahkunud) töötaja nimelise e-postkasti sisuga tutvumiseks

ja töösuhte lõppedes e-postkasti avatuna hoidmiseks.

AKI viitas oma 16.06.2023 ringkirjas lahkunud töötaja e-postkasti erandkorras avatuna hoidmisel

töötaja nõusolekule kui õiguslikule alusele, kuid seejuures on ringkirjas rõhutatud, et lahkunud

töötaja antud nõusolek selleks peab olema vabatahtlik, e-postkasti avatuna hoidmine peab

põhinema reaalsel vajadusel ja toimuma lühikese aja jooksul. Nii tuleb arvestada sellega, et

üldjuhul ei peeta töösuhetes nõusolekut sobivaks isikuandmete töötlemise aluseks. Kui tööandja

tõesti soovib tugineda andmete töötlemisel (lahkunud) töötaja nõusolekule, siis peab tööandja

veenduma ka selles, et nõusolek vastab IKÜM art 4 p 11 ja art 7 tingimustele. Nõusolek peab

olema antud kas avalduse vormis või selge nõusolekut väljendava tegevusega. Lisaks peab

nõusolek olema vabatahtlik, konkreetne, teadlik ja ühemõtteline. Vabatahtlik nõusolek seejuures

tähendab, et (lahkunud) töötajal peab olema ka tegelikult võimalus valida, kas ta sellise

andmetöötlusega nõustub või mitte. Samuti on tal õigus oma nõusolek igal ajal tagasi võtta, mis

tähendab, et selle tagasi võtmisega peab lõppema ka andmetöötlus, nii nagu isegi oma kirjas olete

viidanud. Üldiselt on tööandja jõupositsioonil ning töötaja nõusoleku tegelikku vabatahtlikkust ei

ole võimalik garanteerida. Nendest põhjendustest lähtuvalt saab nõusolek töötaja e-postkasti sisu

vaatamiseks olla pigem erandlik andmetöötluse õiguslik alus.

Alternatiivselt võivad töötaja e-postkasti vaatamise õigusliku alusena tulla kõne alla eelkõige

IKÜM art 6 lg 1 punkt f (andmetöötleja õigustatud huvi, mis ei kaalu üles andmesubjekti õiguseid

ja huve), teatud juhtudel ka IKÜM art 6 lg 1 punkt c (seadusest tuleneva kohustuse täitmine).

Pigem erandlikel juhtudel võib e-postkasti sisu vaatamisel tulla kõne alla lisaks veel IKÜM art 6

lg 1 punkt b (andmesubjekti osalusel sõlmitud lepingu täitmiseks vajalik andmetöötlus). Viimane

võiks teoreetiliselt e-postkasti sisu vaatamise puhul tulla kõne alla juhul, kui esiteks on tegemist

2 (3)

veel tööl oleva töötajaga, st mitte lahkunud töötajaga (lepingu alusel töötlemine eeldab lepingu

kehtivust) ning teiseks, kui täidetakse mingit töölepinguga kokkulepitud kokkulepet/tingimust,

milleks andmetöötlus vajalik on. Lahkunud töötaja e-postkasti sisu säilitamisel võib kõne alla tulla

õigusliku alusena samuti eelkõige IKÜM art 6 lg 1 punkt f. Lõppastmes sõltub konkreetne alus

andmetöötluse olukorrast ja eesmärgist. Igal juhul peab andmetöötleja selgelt teadma, millisel

õiguslikul alusel ja eesmärgil ta kavatseb isikuandmeid töödelda. Õiguslikke aluseid on AKI

avanud oma kodulehel Töötlemise õiguslikud alused.

Lisaks õigusliku aluse olemasolule tuleb isikuandmete töötlemisel tagada isikuandmete töötlemise

põhimõtete täitmine (IKÜM art 5).

Nii tuleb nõusolekust kui õiguslikust alusest eristada isikuandmete töötlemise läbipaistvuse nõude

täitmist (küsimused 2 ja 3). IKÜM art 5 lg 1 p-i a kohaselt peab andmetöötleja tagama, et

isikuandmete töötlemine on inimese jaoks läbipaistev. Läbipaistvuse põhimõte eeldab, et

isikuandmete töötlemisega seotud teave ja sõnumid on inimesele lihtsalt kättesaadavad,

arusaadavad ning selgelt ja lihtsalt sõnastatud; nii puudutab läbipaistvus eelkõige andmesubjektide

teavitamist töötlemise eesmärgist ja selle konkreetsest põhjusest ning täiendavast teabest, et tagada

andmesubjekti suhtes õiglane ja läbipaistev töötlemine (IKÜM põhjenduspunkt 39). IKÜM art 13

ja 14 loetleb, milline teave tuleb inimesele tema isikuandmete töötlemisel anda. Selline

isikuandmete töötlemist puudutav teave tuleks andmesubjektidele anda enne isikuandmete

töötlemist.

Inspektsiooni senise praktika kohaselt on oluline, et tööandja määratleks oma töökorralduslikes

dokumentides täpselt e-posti kasutamise reeglid, mh peab tööandja määratlema, kas ja mis

tingimustel on lubatud isiklik kirjavahetus ja millal tohib tööandja tutvuda töötaja e-kirjadega.

Lisaks eelnevale on inspektsioon olnud seisukohal, et töötaja teadmata on tema tööalaselt

kasutatavas arvutis või e-postkastis ükskõik milliste isikuandmete töötlemistoimingute tegemine

keelatud. Seega eeldavad tööandja poolt töötaja e-postkasti kontrollimisega seotud

töötlemistoimingud, et töötaja on teadlik, et selliselt võidakse tema isikuandmeid töödelda ja

seejuures peab töötajaid sellest eelnevalt teavitama e-posti kasutamise reeglite või juhiste loomise

ja vastava korra tutvustamisega. Töötaja peab olema teadlik, et juhul, kui tal on e-postkastis

isiklikke kirju, siis kus ja kuidas neid säilitada, et välistada nendes sisalduvate isikuandmete

töötlemine tööandja poolt. Töötajale tema isikuandmete töötlemise kohta teabe andmine ehk

läbipaistvuse nõude täitmine ja töötaja poolt sellise teabega tutvumine ei asenda andmetöötluseks

nõusoleku küsimise vajadust juhul, kui andmetöötlus toimub nõusoleku alusel.

Küsite AKI ringkirjale tuginedes, mis erinevus seisneb selles, kas tööandja vaatab endise töötaja

e-postkasti sisu eraldi arvutikettalt või siis endise töötaja e-postkastis endas. Samuti küsite, kuidas

muudab andmetöötluse õiguspäraseks see, kui vahetada endise töötaja nimeline e-postkasti

nimetus nt „tootajaametipost@ettevõte.ee“ vastu, kuivõrd endise töötaja nimi säilib e-postkastis

sisalduvatel e-kirjadel edasi.

Igasuguste töötlemistoimingute puhul tuleb andmetöötluse põhimõtetena tagada mh ka

eesmärgipärasuse ja minimaalsuse põhimõtete täitmine. Andmetöötlus peab toimuma täpselt ja

selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning isikuandmeid ei tohi töödelda hiljem

viisil, mis on nende eesmärkidega vastuolus (IKÜM art 5 lg 1 punkt b). Ühtlasi tuleb tagada see,

et töödeldaks üksnes neid isikuandmeid, mis on asjakohased, olulised ja piiratud sellega, mis on

vajalikud eesmärgi täitmiseks (IKÜM art 5 lg 1 punkt c). Seega ei pruugi olla eesmärgipärane ega

minimaalsuse põhimõttega kooskõlas, kui tööandja säilitab kogu lahkunud töötaja e-postkasti sisu

ja käib sealt vastavalt eesmärgile endale vajalikku sisu vaatamas. Pigem võib eesmärgipärase ja

minimaalsuse põhimõttega kooskõlas olla see, kui tööandja säilitab endale mingil eesmärgil

üksnes tööalasest vaatest vajalikud töötaja e-kirjad ning ülejäänud töötaja e-postkasti sisu serverist

kustutatakse. Igal juhul ei ole põhjendatud säilitada töötaja e-postkastis olevaid isiklikke e-kirju

(ka nendega seonduv tuleks töökorralduse reeglites selgelt määratleda). Sarnaselt võib lahkunud

töötaja õiguste ja huvide riivet vähendada see, kui muuta töötaja nimeline e-posti aadress muu

3 (3)

üldise kombinatsiooniga selleks, et vähendada neid olukordi, mil inimene on selgelt tuvastatav.

Seega ei ole andmetöötluse puhul küsimus üksnes õiguspärasuses, vaid ka selles, et täidetud

oleksid üldmäärusest tulenevad isikuandmete töötlemise põhimõtted (sh eesmärgipärasus ja

läbipaistvus).

Soovite viimaks teada, millist ajavahemikku saab pidada lahkunud töötaja e-postkasti lahti

hoidmisel väga lühikeseks ajaks või e-kirjade säilitamisel mõistlikuks. Küsite, kas võib olla

põhjendatud säilitada e-postkasti sisu kolm aastat, arvestades, et erinevate nõuete aegumistähtaeg

on kolm aastat (küsimused 1, 7 ja 8).

Andmetöötlus, sh isikuandmete säilitamine peab olema eesmärgipärane ja tagama selle, et

töödeldaks üksnes ja ainult neid andmeid, mis on eesmärgi täitmiseks vajalik. Seejuures tuleneb

IKÜM art 5 lg 1 punktist e ka isikuandmete säilitamise piirangu põhimõte, mis tähendab, et

isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on

vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. Isikuandmete töötlemise

eesmärgi koos kõikide täiendavate tingimustega (milliseid andmeid, kuidas, kelle poolt jne

töödeldakse) peab määrama isikuandmete vastutav töötleja ehk isik, kes määrab kindlaks, miks ja

kuidas andmetöötlus aset peab leidma. Vastutav töötleja peab seejuures arvestama juba viidatud

isikuandmete töötlemise põhimõtetega. Nii ei ole põhjendatud isikuandmeid säilitada, kui selleks

puudub eesmärk ja vajadus.

AKI märgib, et on töösuhetes isikuandmete töötlemise juhendit uuendamas ja nii on uuenemas ka

nimetatud e-postkasti kontrollimisega seonduv Isikuandmete töötlemine töösuhtes. Lisaks on AKI

koondanud ja koondab ka edaspidi korduma kippuvate küsimuste vastuseid oma KKK rubriiki

KKK töösuhted.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Agnes Järvela

jurist

peadirektori volitusel