Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Kristena Kutti

Advokaadibüroo TRINITI OÜ

[email protected]

Teie 30.05.2025 Meie 17.06.2025 nr 2.2-9/25/1752-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses drooni kasutamisega Tartu linna

sõlmitud hankelepingute täitmise kontrollimiseks. Nimelt küsite, kui droonikasti süsteemil

põhineval droonil kasutatakse tehnoloogiat, mis võimaldab kohe pärast drooni droonidokis

maandumist kõik fotole või videosalvestisele jäänud isikud anonümiseerida, siis kas on õige

järeldada, et vastavalt IKÜM põhjenduspunktile 26 ei ole anonüümse teabe töötlemiseks vajalik

IKÜM artikli 6 kohase õigusliku aluse olemasolu drooni kasutuse vältel tervikuna.

Esmalt selgitan, et käesolevat vastust ei saa käsitleda AKI siduva hinnanguna selgitustaotluses

kirjeldatud olukorrale. Konkreetsete asjaolude osas saab AKI seisukohta võtta ainult

järelevalvemenetluses. AKI kohustuseks on anda õigusalaseid selgitusi inspektsiooni tegevuse

aluseks olevate õigusaktide ja asutuse pädevuse kohta, mis ei hõlma õigusliku nõu andmist.

Soovitame konkreetsete lahenduste ja võimaluste arutamisele kindlasti kaasata Tartu linna

andmekaitsespetsialisti.

Selgitustaotluses esitatud protsessi kirjelduse põhjal ei saa AKI hinnangul täielikult välistada

isikuandmete töötlemist ja seega ka IKÜM-i kohaldamist, kuna drooni lennu ajal siiski võivad

isikuandmed salvestuda. Ka see asjaolu, et andmed hiljem ananüümitakse, ei võimalda jõuda

järeldusele, et sellisele andmetöötlusele tervikuna IKÜM ei rakendu. IKÜM põhjenduspunkt 26

puudutab ainult andmetöötlust, mis toimub pärast isikuandmete täielikku anonüümimist (sh

isikustatud andmete kõikidest allikatest kustutamist, et vältida nende taasisikustamist), mis

juhtub aga alles droonidoki arvutiga ühendamise järel. IKÜM põhjenduspunkti 26 mõju ei tohi

laiendada andmetöötlusele, mis toimub enne anonümiseerimist, mis tähendab, et ka lühiajaliselt

isikandmete salvestamiseks peab olema õiguslik alus.

Isikuandmete töötlemise õigusliku aluse olemasolu tõendamine on vastutava töötleja ülesanne,

tema kohustuseks on ka analüüsida, mis riskid töötlemisega kaasneda võivad ning millised

kaitsemeetmed aitavad neid riske maandada. Seejuures on AKI arvates oluline, et nii Tartu linn

kui ka Tartu Teaduspark SA teeks omavahel selgeks, mida, mis eesmärgil ja õiguslikul alusel

kumbki neist teeb. Euroopa Andmekaitsenõukogu on selgitanud, et vastutav töötleja määrab

kindlaks töötlemise eesmärgi ja vahendid, st vastutav töötleja otsustab, miks isikuandmete

töötlemine toimub ja kuidas see toimub. Seejuures ei ole lõppastmes oluline, kas vastutaval

töötlejal endal on ka tegelik juurdepääs isikuandmetele või mitte. Vastutavaks töötlejaks

peetakse isikut, kes tellib või otsustab isikuandmete töötlemise, valides omale selleks eraldiseisva

partneri. Isegi kui isikuandmeid reaalselt töötleb muu vastutava töötleja poolt valitud isik ja

vastutav töötleja ise ei puutugi isikuandmetega kokku, vastutab kogu selle tegevuse eest siiski

vastutav töötleja. Seejuures nimetatakse füüsilist või juriidilist isikut, avaliku sektori asutust,

2 (2)

ametit või muud organit, kes töötleb isikuandmeid vastutava töötleja nimel, IKÜM art 4 p 8

kohaselt volitatud töötlejaks. Volitatud töötleja peab olema vastutavast töötlejast eraldiseisev

üksus ja ta peab töötlema isikuandmeid vastutava töötleja nimel ja tema huvides. Kellegi

„nimel“ tegutsemine tähendab, et volitatud töötleja ei tohi andmeid töödelda oma eesmärkidel1.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Irina Meldjuk

jurist

peadirektori volitusel

1 Euroopa Andmekaitsenõukogu suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses, ptk-d 2.1 ja 4 – https://www.edpb.europa.eu/system/files/2023- 10/edpb_guidelines_202007_controllerprocessor_final_et.pdf.