Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Tiia Ots

[email protected]

Teie 22.05.2025 Meie 30.06.2025 nr 2.2-9/25/1644-3

Vastus selgitustaotlusele

Esitasite Andmekaitse Inspektsioonile selgitustaotluse, milles soovite täpsustada nõusoleku

tagasivõtmise õiguse ulatust töötaja poolt. Soovite teada, kas töötajal on õigus keelduda enda CV

avaldamisest hankijale või konkreetsele hankijale või seda piiranguid CV-s olevate andmete

esitamisele (nt lubada ainult osaliselt oma töökogemuse infot avaldada), mis võib viia selleni, et

töötajaga ei saa töösuhet jätkata, sest tema välistamine teenuse osutamise protsessist konkreetse

kliendi jaoks ei ole võimalik.

Oma pöördumises selgitate, et töötajaid on informeeritud, et nende CV-d võidakse ettevõtte poolt

kasutada hangetes, kui hankija küsib teenust osutavate töötlejate CV-sid nende pädevuses

veendumiseks või teha taustauuringut, mis on Teie ettevõtte tegutsemisvaldkonnas täiesti

tavapärane. Alusena on viidatud isikuandmete kaitse üldmääruse (IKÜM) artikkel 6 lõike 1

punktile b.

Esmalt märgime, et inspektsioonile ei ole teada juhtumiga seotud täpsed asjaolud ja samuti ei anna

me õiguslikke hinnanguid väljaspool menetlust, mistõttu saame vaid üldiselt selgitada

isikuandmete töötlemist puudutavat.

IKÜM-st tulenevalt tuleb isikuandmete töötlemisel alati järgida IKÜM artiklis 5 loetletud

isikuandmete töötlemise põhimõtteid, milleks muu hulgas on seaduslikkuse, õigluse ja

läbipaistvuse põhimõte, eesmärgipärasuse põhimõte ja minimaalsuse põhimõte. Nende kolme

põhimõtte järgi peab isikuandmete töötlemiseks olema alati seaduslik alus, isikuandmeid tohib

töödelda üksnes selgelt määratletud eesmärgil ning ulatuses, mis on selle konkreetse eesmärgi

täitmiseks vajalik. Lisaks peab töötlemine olema inimese jaoks selge ja arusaadav ehk läbipaistev.

Isikuandmete töötlemise seaduslikud alused on loetletud IKÜM artikkel 6 lõikes 1. IKÜM

põhjenduspunktis 40 on selgitatud, et töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid

töödelda asjaomase andmesubjekti nõusolekul või muul õiguslikul alusel, mis on sätestatud

õigusaktis, kas käesolevas määruses või käesolevas määruses osutatud muus liidu või liikmesriigi

õigusaktis, sealhulgas siis, kui vastutav töötleja peab täitma talle kehtivaid juriidilisi kohustusi või

kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel

enne lepingu sõlmimist meetmeid.

Riigihangete korraldamise reeglid ning riigihankega seotud isikute õigused ja kohustused on

sätestatud riigihangete seaduses (RHS), mida on kohustatud järgima avaliku sektori hankija1 ja

võrgustikusektori hankija2.

1 RHS § 5 lõige 2 2 RHS § 5 lõige 3

2 (3)

RHS-st tulenevalt sätestab hankija riigihanke alusdokumentides majanduslikult soodsaima

pakkumuse väljaselgitamiseks hankelepingu esemega seotud ja reaalset konkurentsi tagavad

pakkumuste hindamise kriteeriumid. Majanduslikult soodsaima pakkumuse väljaselgitamisel

võtab hankija arvesse eelkõige parimat hinna ja kvaliteedi suhet, mis hõlmab kvalitatiivseid,

keskkonnahoidlikkuse või sotsiaalseid kriteeriume, milleks muu hulgas võivad olla hankelepingu

täitmises vahetult osalevate isikute spetsiifiline tõendatud töökorraldus, kvalifikatsioon või

kogemus, millest otseselt sõltub hankelepingu täitmise kvaliteet.3

Kutsealase pädevuse kontrollimiseks on hankijal õigus muu hulgas nõuda andmete või

dokumentide esitamist pakkuja või taotleja, tema juhtide või teenuste osutamise või ehitustööde

juhtimise eest vastutavate isikute hariduse ja kutsekvalifikatsiooni kohta, kui need on vastavate

teenuste osutamiseks või ehitustööde juhtimiseks vajalikud.4

Seega annab RHS kontrollimiseks ja soodsaima pakkumuse väljaselgitamiseks avaliku sektori või

võrgustikusektori hankijale õiguse nõuda hankelepingu täitmises vahetult osalevate isikute

kvalifikatsiooni puudutavaid andmeid, kuid eesmärgipärasuse ja minimaalsuse põhimõtetest

lähtuvalt tohib seda teha ulatuses, mis on teenuste osutamiseks vajalik. Siinjuures on tähtis silmas

pidada seda, et avaliku sektori asutused üldjuhul ei töötle isikute andmeid nõusoleku alusel.

IKÜM artikkel 4 punkti 11 järgi on nõusolek vabatahtlik, konkreetne, teadlik ja ühemõtteline

tahteavaldus, millega isik kas avalduse vormis või selge nõusolekut väljendava tegevusega

nõustub tema kohta käivate isikuandmete töötlemisega. IKÜM põhjenduspunktis 42 on muu

hulgas selgitatud, et nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole

tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest

keelduda või seda tagasi võtta. Seda täiendab veel põhjenduspunkt 43, milles märgitakse järgmist:

selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete

töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on

selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus, ning seega

on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult.

Euroopa Andmekaitsenõukogu (EAKN) on 04.05.2020 antud suuniste5 (edaspidi 04.05.2020

suunised) punktis 3 märkinud, et üldiselt saab nõusolek olla asjakohane õiguslik alus vaid juhul,

kui andmesubjektile antakse kontroll ning tõeline võimalus valida pakutavate tingimustega

nõustumise ja nende tagasilükkamise vahel, ilma et sellega kaasneks kahjulikke tagajärgi.

Nõusoleku küsimisel on vastutava töötleja ülesanne hinnata, kas see vastab kõigile kehtiva

nõusoleku hankimise nõuetele. Kui nõusolek on saadud täielikult kooskõlas isikuandmete kaitse

üldmäärusega, on see vahend, mis annab andmesubjektile kontrolli selle üle, kas tema

isikuandmeid töödeldakse või mitte. Kui nõusoleku hankimisel ei ole isikuandmete kaitse

üldmäärust täielikult järgitud, on andmesubjekti kontroll vaid näilik ja nõusolek ei ole töötlemiseks

kehtiv alus, mistõttu töötlemine on ebaseaduslik.

Lisaks on 04.05.2020 suuniste punktis 13 märgitud, et üldjuhul on isikuandmete kaitse

üldmäärusega ette nähtud, et kui andmesubjektil ei ole tõelist valikuvõimalust, kui ta tunneb sundi

nõustuda või kui tal tuleb nõusoleku andmata jätmise korral taluda negatiivseid tagajärgi, on

nõusolek kehtetu. Kui nõusolek on osa mitteläbiräägitavatest tingimustest, ei peeta seda

vabatahtlikult antuks.

Samuti ei tohi nõusoleku puhul jätta arvestamata ebavõrdset jõuvahekorda, mis ilmneb ka töösuhte

kontekstis. 04.05.2020 suuniste punktis 21 leitakse, et tööandja ja töövõtja vahelist sõltuvussuhet

arvesse võttes on ebatõenäoline, et andmesubjekt saab keelduda oma tööandjale andmete

töötlemiseks loa andmisest, tundmata hirmu või tajumata tõelist ohtu, et keeldumisega kaasnevad

kahjulikud tagajärjed.

3 RHS § 85 4 RHS § 101 5 Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta

3 (3)

Niisiis ei saa rääkida vabatahtlikult antud nõusolekust, kui inimene tunneb sundi nõustuda

(sealjuures võib sunniks olla mistahes viisil toimuv igasugune survestamine või mõjutamine) või

kui mittenõustumisel tuleb taluda negatiivseid tagajärgi (töötajaga ei saa töösuhet jätkata) või kui

inimesel puudub võimalus tingimuste osas kaasa rääkida.

Seega, kui hankijatele CV-de avaldamisel tuginetakse nõusolekule, kuid töötajal puudub samas

võimalus ise otsustada, millises ulatuses ta nõustub oma andmeid hankijale avaldama ning

nõusoleku andmisest keeldumise tulemuseks on töösuhte lõppemine, siis ei saa ilmselgelt tegemist

olla vabatahtlikult antud nõusolekuga. Nõusolek aga, mis ei vasta IKÜM tingimustele, on kehtetu.

Teie pöördumises toodud õiguslik alus viitab sellele, nagu oleks CV-de edastamine vajalik töötaja

osalusel sõlmitud lepingu täitmiseks. Samas jääb selgusetuks, mil määral on CV-de edastamine

hankijale töötajate pädevuse hindamiseks või taustauuringu tegemiseks vajalik just töötajaga

sõlmitud lepingu täitmiseks. Kui teenusleping sõlmitakse hankija ja tööandja vahel, siis kuivõrd

on sellisel juhul üldse võimalik töötaja isikuandmete töötlemisel tugineda IKÜM artikkel 6 lõike

1 punktile b. Samas, nagu eespool selgitatud, siis ei ole inspektsioonile teada täpsemad asjaolud.

EAKN on 08.10.2019 antud suuniste6 punktis 19 märkinud, et kui vastutav töötleja soovib

töödelda lepingu täitmiseks vajalikke isikuandmeid, ei ole nõusolek asjakohane õiguslik alus.

Samas leiab andmekaitsenõukogu, et kui töötlemistoiming ei ole lepingu täitmiseks vajalik, võib

töötlemine toimuda üksnes siis, kui sellel on mõni muu asjakohane õiguslik alus.

Punktis 26 on lisaks selgitatud, et vastutav töötleja saab isikuandmete töötlemisel tugineda artikli

6 lõike 1 punkti b esimesele osale, kui tal on võimalik kooskõlas artikli 5 lõikega 2 kehtestatud

vastutuse kohustusega tõestada nii seda, et töötlemine toimub seoses andmesubjekti osalusel

sõlmitud kehtiva lepinguga, kui ka seda, et töötlemine on vajalik selle andmesubjektiga sõlmitud

konkreetse lepingu täitmiseks. Kui vastutaval töötlejal pole võimalik tõestada, et a) leping on

olemas, b) leping on kohaldatava riikliku lepinguõiguse alusel kehtiv ning c) töötlemine on lepingu

täitmiseks objektiivselt vajalik, peaks vastutav töötleja kaaluma töötlemistoimingule muud

õiguslikku alust.

Kokkuvõtvalt vastuseks Teie pöördumisele märgime, et kui isikuandmete töötlemine toimub

nõusoleku alusel, siis on andmesubjektil õigus otsustada, kellele ja millises ulatuses ta lubab oma

isikuandmeid edastada, sealjuures on isikul õigus oma nõusolek igal ajal tagasi võtta. Siinjuures

peame vajalikuks selgitada, et tööandja vastutava töötlejana peab läbipaistvuse tagamiseks

veenduma, et töötajatel ei tekiks segadust kohaldatava õigusliku aluse osas. Töötajatel ei tohi

ekslikult jääda muljet, et tööandjaga lepingut sõlmides annavad nad IKÜM artikli 6 lõike 1 punkti

a kohase nõusoleku. Samuti ei tohi tööandja eeldada, et lepingu sõlmimine töötajaga tähendab ka

nõusolekut IKÜM artikli 6 lõike 1 punkti a tähenduses. Tegemist on täiesti erinevate mõistetega

ja nendel kontseptsioonidel on erinevad nõuded ja õiguslikud tagajärjed.

Loodetavasti saime selgitustega abiks olla.

Lugupidamisega

Terje Enula

jurist

peadirektori volitusel

6 Suunised 2/2019 isikuandmete töötlemise kohta IKÜM artikli 6 lõike 1 punkti b alusel seoses andmesubjektidele

internetipõhiste teenuste osutamisega