Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Sandra Paulus

SA Kodanikuühiskonna

Sihtkapital

[email protected]

e

Teie 18.06.2025 nr Meie 04.07.2025 nr 2.2-9/25/1979-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) on saanud Teie pöördumise, milles soovite nõu hankega seotud

küsimuses. Soovite veenduda, et sotsiaalsete kriteeriumite rakendamine ei läheks vastuollu

andmekaitsega või kui on vastuolu, siis soovite võimalusel ettepankuid, mida oleks vaja muuta.

Nimelt soovite rakendada hankes eritingimust lisapunktide saamiseks, mis siis eeldaks

isikuandmete töötlemist (sh nimi, staatust kinnitavad tõendid jne). Selle kriteeriumiga antakse

teatud eelis hankes osalejale, kellel on kaasatud teatud kriteeriumit täitev inimene.

Siinkohal pean märkima, et ma ei saa anda õiguslikku hinnangut konkreetse tingimuse

õiguspärasusele selgitustaotluse raames. Õiguslikke seisukohti kujundab AKI eelkõige

järelevalvemenetluse raames, hinnates kõiki asjas tähtsust omavaid asjaolusid. Olukorras, kus mul

puudub informatsioon, milline hange ja millistel alustel läbi viiakse, sh millisel alusel toimub

isikuandmete töötlemine, siis saan jagada vaid üldiseid selgitusi lähtudes muuhulgas isikuandmete

kaitse üldmäärusest (edaspidi IKÜM), mida tuleb arvestada isikuandmete töötlemisel.

Selgitan, et riigihangete korraldamisel on hankijal võimalik sätestada tingimusi, mis aitavad kaasa

sotsiaalse võrdsuse suurendamisele (nn sotsiaalsed kriteeriumid). Hankija saab kehtestada, et

riigihankes osalev ettevõtja peab täitma mingeid sotsiaalse iseloomuga tingimusi, või anda

ettevõtjale selliste tingimuste täitmisel eelise (nt võimaluse saada pakkumuste võrdlemisel rohkem

hindepunkte). Sotsiaalsete kriteeriumitena võimaldab riigihangete direktiiv muuhulgas arvestada

ebasoodsas olukorras olevate isikute või haavatavate rühmade liikmete sotsiaalset integreerimist

lepingut täitma määratud töötajate hulka.1

Riigihangete puhul tuleb muuhulgas jälgida reegleid korrektseks isikuandmete töötlemiseks.

IKÜM2 sätestab, et isikuandmete töötlemine peab olema seaduslik ja andmesubjektile läbipaistev;

samuti tohib isikuandmeid koguda üksnes kindlaksmääratud õiguspärastel eesmärkidel3 ning

koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid4. Seda, millisel õiguslikul alusel ja

eesmärgil andmetöötlust läbi viiakse, peab IKÜM5 kohaselt selgitama ja tõendama

andmetöötleja. Isikuandmete töötlemise õiguslike aluste ammendav loetelu on välja toodud

IKÜM artiklis 66. 1 2014/24/EL preambul p 93 (https://eur-lex.europa.eu/legal-

content/ET/TXT/HTML/?uri=CELEX:32014L0024&qid=1690175760866) 2 IKÜM art 5 lg 1 p a 3 IKÜM art 5 lg 1 p b 4 IKÜM art 5 lg 1 p c 5 IKÜM art 5 lg 2 6 Loe ka isikuandmete töötleja üldjuhend lk 7: Isikuandmete töötleja üldjuhend.pdf.

2 (3)

Kui õiguslik alus isikuandmete töötlemiseks puudub, siis isikuandmeid töödelda (sh koguda,

edastada, salvestada, säilitada vms) ei tohi. Niisama igaks juhuks andmeid töödelda ei ole samuti

lubatud. Andmetöötlus peab olema eesmärgipärane ja tagama selle, et töödeldakse üksnes ja ainult

neid andmeid, mis on eesmärgi täitmiseks vajalik.

Olete viidanud oma kirjas ka nõusolekule kui õiguslikule alusele isikuandmete töötlemiseks. Mis

puudutab nõusolekut õigusliku alusena, siis märgin, et avaliku sektori asutus üldjuhul ei töötle

isikute andmeid nõuoleku alusel. IKÜM7 põhjenduspunktid 42 ja 43 selgitavad, et nõusolekut ei

tohiks lugeda vabatahtlikult antuks, kui inimene ja tema isikuandmete vastutav töötleja on selgelt

ebavõrdses olukorras, eriti juhul, kui vastutav töötleja on avaliku sektori asutus. Seega, kui

tegemist ei ole vabatahtlikult antud nõusolekuga oma isikuandmete töötlemiseks, peab

andmetöötlus tuginema üksnes selgele õiguslikule alusele, mis tuleneb kohasest õigusaktist.

Rõhutan, et kui isikuandmete töötlemise alus (kohustus) tuleneb õigusaktist, siis ei ole asjakohane

andmete töötlemisel tugineda nõusolekule, kuna see on eksitav, sest inimene tegelikult oma

andmete töötlemise üle otsustada ei saa. Euroopa Andmekaitsenõukogu on 04.05.2020 antud

suuniste8 punktis 3 märkinud, et üldiselt saab nõusolek olla asjakohane õiguslik alus vaid juhul,

kui andmesubjektile antakse kontroll ning tõeline võimalus valida pakutavate tingimustega

nõustumise ja nende tagasilükkamise vahel, ilma et sellega kaasneks kahjulikke tagajärgi.

Nõusoleku küsimisel on vastutava töötleja ülesanne hinnata, kas see vastab kõigile kehtiva

nõusoleku hankimise nõuetele. Kui nõusolek on saadud täielikult kooskõlas isikuandmete kaitse

üldmäärusega, on see vahend, mis annab andmesubjektile kontrolli selle üle, kas tema

isikuandmeid töödeldakse või mitte. Kui nõusoleku hankimisel ei ole isikuandmete kaitse

üldmäärust täielikult järgitud, on andmesubjekti kontroll vaid näilik ja nõusolek ei ole töötlemiseks

kehtiv alus, mistõttu töötlemine on ebaseaduslik.

Pöördumisest nähtub, et konkurentsieelist soovitakse anda asutustele, kelle hulgas on teatud

staatusega inimesi. See aga eeldabki hanketingimustele vastavuse tõendamiseks isikuandmete

töötlemist. Euroopa Andmekaitsenõukogu on 04.05.2020 antud suuniste9 punktis 13 on märgitud,

et üldjuhul on isikuandmete kaitse üldmäärusega ette nähtud, et kui andmesubjektil ei ole tõelist

valikuvõimalust, kui ta tunneb sundi nõustuda või kui tal tuleb nõusoleku andmata jätmise korral

taluda negatiivseid tagajärgi, on nõusolek kehtetu. Kui nõusolek on osa mitteläbiräägitavatest

tingimustest, ei peeta seda vabatahtlikult antuks.

Seega ei saa rääkida vabatahtlikult antud nõusolekust, kui inimene tunneb sundi nõustuda

(sealjuures võib sunniks olla mistahes viisil toimuv igasugune survestamine või mõjutamine) või

kui mittenõustumisel tuleb taluda negatiivseid tagajärgi või kui inimesel puudub võimalus

tingimuste osas kaasa rääkida. Järelikult on ka küsitav, kuivõrd on töötajal hankemenetluses oma

isikuandmete töötlemiseks nõusolekut andes valikuvõimalust. Eriti kui huvitatud pooleks on

eelduslikult pigem tööandja, kes soovib näiteks läbi täiendavate väärtuspunktide saada

konkurentsieelist.

Niisiis, olukorras, kus isikuandmete töötlemise õiguslikuks aluseks ei saa olla nõusolek, peab

andmetöötlus tuginema üksnes õigusaktist tulenevale selgele alusele. Sellisel juhul saab

isikuandmete töötlemine toimuda IKÜM artikkel 6 lõike 1 punktide c (juriidilise kohustuse

täitmine) või e (avaliku ülesande täitmine) alusel10.

7 EL isikuandmete kaitse üldmäärus (https://eur-lex.europa.eu/legal-

content/ET/TXT/HTML/?uri=CELEX:32016R0679&qid=1654594451057&from=ET) 8 Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta

(https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_et.pdf) 9 Suunised 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta

(https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_et.pdf) 10 IKÜM artikkel 6 lõike 3 punkti b järgi tuleb artikkel 6 lõike 1 punktides c ja e osutatud isikuandmete töötlemise

alus kehtestada vastutava töötleja suhtes kohaldatava liikmesriigi õigusega.

3 (3)

Riigihanke korraldamise reeglid ning riigihankega seotud isikute õigused ja kohustused on

sätestatud riigihangete seaduses (RHS)11. Seega, kui seadus sätestab hankija õiguse kehtestada

riigihankes osalevale ettevõtjale sotsiaalse iseloomuga tingimusi, siis peab seaduses olema selgelt

sätestatud ka see, millised on hankija õigused hankemenetluses ehk kes ja milliseid isikuandmeid

on hankijale kohustatud esitama ning millisel viisil ja ulatuses on hankijal õigus sotsiaalsetele

tingimustele vastavuse kontrollimiseks neid isikuandmeid töödelda. Nõue, et isikuandmete

töötlemine on ette nähtud seaduse tasemel, tuleb Eesti Vabariigi põhiseaduse §-st 26.

Kokkuvõtvalt saangi selgitada, et seda, millisel õiguslikul alusel isikuandmeid töödeldakse (sh

erinevates hangetes jne), peab teadma iga andmetöötleja ise enne isikuandmete töötlemist. Kui

õiguslik alus puudub, siis isikuandmeid töödelda ei tohi. Käesoleval juhul, kui seadus sätestab

hankija õiguse kehtestada riigihankes osalevale ettevõtjale sotsiaalse iseloomuga tingimusi, siis

peab seaduses olema selgelt sätestatud ka see, millised on hankija õigused hankemenetluses

isikuandmeid töödelda.

Ühtlasi märgin, et kui riigihangete seaduses puudub säte, mis võimaldaks hankijal nõuda talle

nõuetele vastavuse hindamiseks vajalike dokumentide esitamist või teha vajalike isikuandmete

saamiseks päringuid andmekogudesse, siis on alati võimalik teha valdkonda juhtivale

ministeeriumile ettepanek seaduse täiendamiseks vastavate sätetega.

Loodan, et minu selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist

peadirektori volitusel

11 Riigihangete seadus (Riigihangete seadus–Riigi Teataja).